【Android视频号信息获取①】

news2024/11/13 14:47:39

*在2019年深圳上班的时候那时候还是个Java 码农接触了一下 Xposed.时隔多年忘记差不多了用frida先来练练手新公司又让我研究微信视频号获取个人的视频主页标题列表 *

确定微信版本

不同版本微信hook点不一样。

预想实现方式

用Xposed去请求注册一个中转服务然后脚本请求中转服务
- 实现:可以所有号都去处理业务也可以用一部分号去做查询请求
- 难点:Xp会污染手机环境微信检测点太多
用单独服务器hook微信去搭建一个中转然后脚本请求
- 实现:利用微信其他端（pc）协议或者hook 专门分部分号去做服务
- 难点：pc协议是否稳定 pchook 逆向

服务设计思路

服务应该满足组端点可以用sekiro治理

    组：不同业务 方便拓展 例如以后需要视频号 或者其他等业务 防止污染
    端：不同的客户端处理在某一个组下只处理同一种业务 方便查询管理
    点：针对于端去调用某个函数 例如 以后同一个业务下 不同的函数查询

难点

多进程共享数据 当前解决方案：利用系统广播来传递数据
微信hook位置 整个项目最最最麻烦的东西需要不断调试分析

预想期望

搜索获取用户信息
入参账号名
返回类json 或者 protobuf （会有唯一账号id）

获取用户主页视频
入参账号id
返回类json 或者 protobuf 主页视频信息标题视频id 等等

实战分析

打开视频号主主页查询 activity :adb shell dumpsys activity top
com.tencent.mm/.plugin.finder.feed.ui.FinderProfileUI
在这里插入图片描述
但是我并没有找到数据请求的地方这个应该是有个中转的activity 上面这个应该就是个显示页
搜索一番发现了Monitor这个工具可以跟踪执行路径

利用GDA或者Jadx跟踪到这个类发现这应该就是一个数据组装的构造函数
在这里插入图片描述
继续网下翻可以看到里面还有数据解析方法

所以这个类我们可以猜到应该就是数据组包和请求的一个类~ 我们写脚本验证一下

//请求的数据
let NetSceneFinderUserPage = Java.use("com.tencent.mm.plugin.finder.cgi.eg");
NetSceneFinderUserPage["$init"].overload('java.lang.String', 'long', 'com.tencent.mm.cg.b', 'int', 'com.tencent.mm.protocal.protobuf.chn', 'int', 'long', 'boolean', 'java.lang.String', 'long', 'java.lang.Integer', 'java.lang.Long', 'java.lang.String', 'boolean', 'boolean', 'java.lang.Long', 'int', 'kotlin.g.b.k').implementation = function (str, j, c14425b, i, chnVar, i2, j2, z, str2, j3, num, l, str3, z2, z3, l2, i3, c100738k) {
    console.log('$init is called' + ', ' + 'str: ' + str + ', ' + 'j: ' + j + ', ' + 'c14425b: ' + c14425b + ', ' + 'i: ' + i + ', ' + 'chnVar: ' + chnVar + ', ' + 'i2: ' + i2 + ', ' + 'j2: ' + j2 + ', ' + 'z: ' + z + ', ' + 'str2: ' + str2 + ', ' + 'j3: ' + j3 + ', ' + 'num: ' + num + ', ' + 'l: ' + l + ', ' + 'str3: ' + str3 + ', ' + 'z2: ' + z2 + ', ' + 'z3: ' + z3 + ', ' + 'l2: ' + l2 + ', ' + 'i3: ' + i3 + ', ' + 'c100738k: ' + c100738k);
    let ret = this.$new(str, j, c14425b, i, chnVar, i2, j2, z, str2, j3, num, l, str3, z2, z3, l2, i3, c100738k);
    console.log('$init ret value is ' + ret);
    return ret;
};
//响应的数据
let FinderPreloadTransform = Java.use("com.tencent.mm.plugin.finder.preload.g");
FinderPreloadTransform["a"].overload('com.tencent.mm.protocal.protobuf.cgh', 'java.util.List', 'int').implementation = function (cghVar, list, i) {
    console.log('a is called' + ', ' + 'cghVar: ' + cghVar + ', ' + 'list: ' + list + ', ' + 'i: ' + i);
    let ret = this.a(cghVar, list, i);
    console.log('a ret value is ' + ret);
    return ret;
};

在这里插入图片描述

可以看到每次请求确实会走这里而且第一个参数就是视频号的用户名:v2_060000231003b20faec8c5e********************@finder
解析响应的list里面也会包含标题 id等一堆信息这样就拿到了我需要的标题 id 等信息了
接下来就去找找怎么执行这个请求

寻找构造函数的交叉引用有很多
在这里插入图片描述
我们打印一下堆栈 看一下执行流程 （为什么是打印堆栈而不是选择交叉引用因为这个点浪费了我很多时间就是它的类很多都是抽象方法往上手动跟踪的话会找到未实现的方法！）
可以看到一个UI的Create()函数
可以看到我们开始没有定位到的UI界面继续跟进去
在这里插入图片描述
在onCreate 函数中他会获取 FinderProfileFeedLoader 对象继承 BaseFinderFeedLoader

接下来我的思路就变成了构造 FinderProfileFeedLoader 对象然后调用requestRefresh() 方法

构造方法也很简单第一个参数是枚举类型第二个是用户名第三个是chn对象后面是boolean
hook输出一下参数打印如下