🔖逆向

Frida 的默认特征有多明显Frida 是逆向神器，但它的默认部署在检测方面前几乎是裸奔：进程名：frida-server 写在进程列表里端口：默认监听 27042内存特征：注入的 agent 带 frida 字样的内存页、特有的线程名（gum-js-loop 等）库特征：frida-agent.so 出现在 maps 里商业 App 的反 Frida 检测就是按这个清单逐项扫的。对抗思路：逐项消除特征。第一层：改名换端口（5 分钟搞定）# 1. 二进制改名 adb push frida-server /data/local/tmp/.fs64 # 隐藏文件名 # 2. 换端口 + 只

参数全对为什么还是被封很多逆向工程师卡在同一个困惑：签名算法完美还原、设备指纹成套伪装、IP 也是住宅代理——请求还是触发风控。问题出在行为序列：风控不只校验单个请求合不合法，更分析请求序列像不像人。这是行为风控的核心：单点校验防的是"假请求"，序列分析防的是"机器人"。风控在看什么：行为序列的特征维度时间维度：请求间隔分布：真人是长尾分布（快 1s 慢几分钟），机器是正态/均匀分布 操作时段：真人有作息（深夜低频），机器 24 小时均匀 会话节奏：真人"浏览-停顿-操作"，机器"请求-请求-请求"路径维度：页面跳转路径：真人 首页→列表→详情→(返回)

微信网页版的兴衰对逆向的启示微信网页版（wx.qq.com）曾是协议逆向的"黄埔军校"——完整的 web 协议、清晰的同步机制、相对宽松的风控。2017 年后逐步关闭（新号无法登录），但它的协议设计思想至今影响着 IM 逆向的方法论。本文回顾其协议架构，重点讲可迁移的通用知识。网页版协议架构回顾登录流程：1. GET jslogin → 拿 uuid 2. 生成二维码（内容: https://login.weixin.qq.com/l/uuid） 3. GET login?uuid=xxx 轮询 → 200=确认，201=已扫码 4. 确认后

自定义加密的本质：混淆而非密码当 App 不用任何标准算法（AES/RSA/TEA 都不是），而是自己撸一套"加密"——通常是异或、加减、位移、置换的组合。从密码学角度它弱不禁风，从逆向角度它的难度在于"没有特征可循"：没有常量可搜，只能硬读逻辑。好消息是：这类算法的强度上限很低，掌握方法后还原是时间问题。识别：先确认是自定义算法排除法确认：搜遍密码学常量（AES S 盒、TEA delta、MD5 K 表）无命中加密函数里有大量 eor（ARM 异或指令）、lsl/lsr（位移）、查表操作输入输出长度关系：等长（流式异或）或按块膨胀（分组+填充）还原方法论：四步走第一步：圈定算法边界hook

字体指纹：你装了什么字体，你就是谁设备上安装的字体列表是高度个性化的指纹：设计狮的电脑装满字体，普通用户是系统默认，虚拟机/云手机的字体列表则"干净"得可疑。检测原理（侧面测量法）：JS 不能直接枚举字体，但能"测量"——用不同字体渲染同一文本，测渲染尺寸。字体存在则尺寸变化，不存在则回退默认字体尺寸：function detectFont(fontName) { var baseFonts = ['monospace', 'sans-serif', 'serif']; var testString = 'mmmmmmmmmmlli'; var span = docum