卢纡尊吧 关注:25贴子:1,400
  • 8回复贴,共1

借了一个小号,进行抓包测试

只看楼主收藏回复

一楼先来个震惊:
吃土乡这个东西,你用什么手机玩,服务器是看得见的。发出去的包中包含了手机的型号信息,用模拟器玩当然就是模拟器的型号信息了。


IP属地:江苏1楼2017-05-04 22:49回复
    首先,这个东西是用HTTP做的,而且所有内容都用的是POST方法。目前找到了两个目的IP,具体是多少就不透露了;这两个IP一个用于登录,另外一个用于内部的各种操作
    登录时POST的内容有:版本号、用户名、加密后的密码。加密算法是什么没看出来,大概是我太菜了。不过从几次登录的数据来看加密后是一个固定的值。然后服务器会返回一些HTTP文本,类型是text/json,语法(包括拆包得到的plist里的语法)都是json的语法,里面大概是你的物资啦,人物啦,设定的队伍啦,文文新闻的ID啦等等。还有一个比较关键的值是session,在后面的POST里都要用到。
    登录后进任务界面、进图等一系列操作POST到另一个服务器里,具体有什么以后再看,打算先模拟一下登录。
    这么看来哪止脚本,完全可以做一个电脑版的简易客户端出来(笑)


    IP属地:江苏2楼2017-05-04 23:06
    回复

      今日进度:登录完成,获得json数据,需要找一个解析json的库来处理这些数据


      IP属地:江苏3楼2017-05-05 19:17
      回复
        登录模块完成,session获取成功
        我觉得有必要再测试一下密码的加密方式方便登录


        IP属地:江苏4楼2017-05-06 02:00
        回复
          算了……密码大失败,感觉像是sha1加密,但是要搞出来的话需要反编译APK包,技术不够……
          已经不想手敲数据了,直接在APK包里找几份plist,程序初始化的时候往内存里导入一下


          IP属地:江苏5楼2017-05-06 03:00
          回复
            所有plist信息导入完成,获取当前人物信息完成,领取赛钱箱完成,阅读文文新闻完成

            PS,其实貌似这个号的有些信息已经在这个贴里贴出来了,不过吃瓜群众应该是找不到的- -


            IP属地:江苏6楼2017-05-06 16:19
            回复


              修仙党的胜利,IDA神器,cocos的.so文件分析完成,在确定加密算法为sha1后成功在反编译出的源码中找出了加密字符串为client::key + player::password,key暂时不予公布。登录应该可以完成了,再去战斗界面看看是不是也是这么加密的


              IP属地:江苏7楼2017-05-09 05:50
              回复
                我先放个demo,虽然可以实现更多功能但是暂时不管了
                恩……可能运行过程中会生成一大堆乱七八糟的debug文件
                http://pan.baidu.com/s/1miNrI8w


                IP属地:江苏8楼2017-05-12 01:56
                回复
                  太触了,膜


                  9楼2017-05-19 10:43
                  回复