拆，得到 appid ‖ HMAC_KEY ‖ RC4_KEY ‖ version 四元组。换 build / 换 appid 的时候，只要把这四元组换掉就行，这个 HMAC\_KEY 在同一个 build 里跨会话是稳定的，不是热更下发的。
拿一个完整解密包（POST /api/customerService/live800/，包里 sign 是 fe1445de…）代进去验：
computed: fe1445dec709a415a2fd9db36ea2ba582aa562da
expected: fe1445dec709a415a2fd9db36ea2ba582aa562da
MATCH:True
![](/d/file/p/2026/10-20/ca00816e7b647cf194eae2a8a2ddaa2b.png / btn_close3.png 隐写里 \"||\" 拆出来的
HMAC_KEY = \"zSWY1et3fPeY9PfY#^pvg5tBGzSjZRi2\"
def build_query(body: dict) -> str:
\"\"\"去掉 sign 后所有字段，按 key 升序拼 k=v&...，不做 urlencode\"\"\"
return \"&\".join(f\"{k}={body[k]}\" for k in sorted(body) if k != \"sign\")
def compute_sign(body: dict, urlpath: str, hmac_key: str = HMAC_KEY) -> str:
ts = str(body[\"timestamp\"])
ver = str(body[\"version\"])
query = build_query(body)
# 6 段：timestamp | query | timestamp | KEY | version | urlpath
material = f\"{ts}|{query}|{ts}|{hmac_key}|{ver}|{urlpath}\"
return hmac.new(hmac_key.encode(), material.encode(), hashlib.sha1).hexdigest().lower()
def verify_sign(body: dict, urlpath: str, hmac_key: str = HMAC_KEY) -> bool:
expected = body.get(\"sign\", \"\").lower()
return bool(expected) and compute_sign(body, urlpath, hmac_key) == expected
</code></pre></div>
<p>顺带提一句密钥的兜底逻辑：反编译里 <code>signHttpUrl</code>（chunk 00017）有个分支，内网测试服走的是硬编码 <code>appid=0000</code>、<code>HMAC_KEY=\)
、version=2024326；正式包才走 png 隐写拆出来的那套。
九、小结
整条链路串下来：
- 四层壳脱掉（前两层离线算法脱，第三层 hook linker dump 子 so 重建 ELF）
- 在 IDA 里逆出魔改 LuaJIT 的 opcode → handler 映射（交叉验证）
- 把映射注入 ljd，批量反编译 845/850 个 Lua（关键是别覆盖 stock opcode）
- RC4 流量解密验证（24/24 字节级）
- sign 静态分析定位到
sign4Url，但纯静态猜素材失败 - hook
lj_str_new抓到真实 HMAC 素材，还原 6 段公式 - 对真实包字节级复现，
MATCH: True
本文仅用于安全研究与学习交流，相关样本来自授权分析，请勿用于任何非法用途。
看雪ID：Aar0n
https://bbs.kanxue.com/user-home-985255.htm
\*本文为看雪论坛精华文章，由 Aar0n 原创，转载请注明来自看雪社区
第十届安全开发者峰会【议题征集】-欢迎投稿
往期推荐
面向复现的逆向工程实践：Hermes 在设备刷写、提权与 Frida 魔改中的自动化能力验证
实战APP全流程分析(检测绕过/登录分析/视频解锁/native加密/广告绕过)
球分享
球点赞
球在看
点击阅读原文查看更多
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论