某音系列视频解密
一、web端
目标地址：aHR0cHM6Ly9kZW1vLnZvbGN2aWRlby5jb20vY29tbW9uL3ZlcGxheWVyL2Jhc2ljL2V4YW1wbGU/dGFiPWZ1bmN0aW9uLWRpc3BsYXk=
1.hls加密
看了下m3u8内容，一眼就看出来就是类似某浪，根据之前的分析，类似的可以直接找出key，结果还是没加密的
2.mp4和dash加密
直接下载播放，发现是花屏的
然后注意到有条链接，发现有kid,估计类似谷歌的wv或者就是
返回的内容，后面有一串base64编码的，但解码后长度是37，很明显不对，下个断点分析一下
{ "play_licenses": { "v02dfag10001cb37d5nft13gcp27jebg": { "62c67696efe8470664479b970002dfab": "z+Yb/QHhI/9vtE6VANockAKPIMU45yP9Pd1w/Ti3cJdox3KHhw==" } }, "base_resp": { "code": 0, "message": "success" }}
getPlayLicenses：
然后可以看到进入了，openbox函数里面，然后返回了一个值，
大胆猜测这就是key，播放一下
ffplay播放ffplay 8bde7560b20b4e79ba8f7a46aec89530.mp4 -decryption_key 79f8ad6b4ee74dec944334e0b9c3547b解密 ffmpeg.exe -decryption_key 79f8ad6b4ee74dec944334e0b9c3547b -i 8bde7560b20b4e79ba8f7a46aec89530.mp4 dec8bde7560b20b4e79ba8f7a46aec89530.mp4
播放没有问题，继续分析openbox函数，发现很类似wasm，但却看不到wasm文件
关键部分就是_openBox，函数，这里返回了一个地址，然后在用UTF8ToString，从该地址开始取出一定长度（32）的值并转换为String。
{ key: "openBox", value: function(e) { try { var t = window.atob(e) , r = util.str2hex(t) , n = this.module._malloc(Number(r.length)); this.module.HEAP8.set(r, n); var i = this.module._openBox(Number(n), r.length) , a = this.module.UTF8ToString(i); return this.module._free(n), a } catch (error) {} } }继续跟进去，到了这里很明显就是wasm了，只不过把wasm转换为了js
在openBox里面有很多匿名函数，最后返回的是i,在匿名函数入口打个断点，从下往上分析
返回的是i=10016,在内存中查看就是我们需要的值，根据wasm特性，v函数就是一个释放内存的
同时注意到，在这前面也已经存在了解密后的数据，只不过前后多了一个1，在往上一个函数查看，
执行前内存是下面图片，执行后就是上面的图片，很大可能就是移了个坑，这个函数就没有必要分析了（当然其他视频可能用的到，但我试了很多都没有用到）
继续往上看，很明显了运行前后不一样了
简单分析一下函数，传入的地址和一个数字，根据上的内存从1-1，刚好34，同时有一个奇葩的for循环，u,o都是memory，只是数据类型不一样而已，先取值赋值给s,在运行后写入内存，o[o|l]
还有一个b函数，就是popcount 函数
b(e) { for (var t = 0, r = 0; r = t, e; ) e &= e - 1, t = t + 1 | 0; return r }简单还原一下这匿名函数
func fff(dddd1 int, dddd []byte) []byte { dddd0 := 0 dddd2 := 0 dddd4 := 85 dddd5 := 250 for dddd2 < dddd1 { num := strings.Count(strconv.FormatInt(int64(dddd2), 2), "1") dddd3 := dddd[dddd0] dddd6 := dddd2 & 1 if dddd6 == 1 { dddd[dddd0] = byte(((((dddd4 ^ int(dddd3)) << 24) 24) + 21) + num) } else { dddd[dddd0] = byte(((((dddd5 ^ int(dddd3)) << 24) 24) + 21) + num) } if dddd6 == 0 { dddd5 = int(dddd3) } if dddd6 == 1 { dddd4 = int(dddd3) } dddd2++ dddd0++ } return dddd}继续往上找，注意到就是传入的数据取了34位，再传给下一个函数，然后还有一堆杂七杂八的不知道有啥用
提取有用的就一行代码，最终完整代码
package mainimport ( "encoding/base64" "fmt" "strconv" "strings")func fff(dddd1 int, dddd []byte) []byte { dddd0 := 0 dddd2 := 0 dddd4 := 85 dddd5 := 250 for dddd2 < dddd1 { num := strings.Count(strconv.FormatInt(int64(dddd2), 2), "1") dddd3 := dddd[dddd0] dddd6 := dddd2 & 1 dddd[dddd0] = byte((dddd6&0x1)*dddd4 + (1-dddd6&0x1)*dddd5 ^ int(dddd3)<<2424 + num + 21) dddd5 = dddd6&0x1*dddd5 + (1-dddd6&0x1)*int(dddd3) dddd4 = dddd6&0x1*int(dddd3) + (1-dddd6&0x1)*dddd4 dddd2++ dddd0++ } return dddd}func ff(n []byte) []byte { return fff(34, n[1:35])[1:33] /* dddd := []int{0, 0, 0, 0, 0, 0, 0, 0, 0, 0} aaaa := []byte{} aaaa = n dddd[1] = len(n) dddd[6] = int(n[2] ^ n[1] ^ n[0]) var data1 = byte(dddd[6] - 48) dddd[7] = dddd[1] - dddd[6] + 47 var data2 = byte(dddd[1] - dddd[6] + 47) dddd[6] = int(data1) dddd[7] = dddd[6] if data1 > 0 { for { dddd[7]-- dddd[6] = 0 if dddd[7] < 1 { break } else { dddd[6] = int(data1) } } } var data3 = aaaa[1 : 1+int(data2)] return fff(int(data2), data3)[1 : len(data3)-1] */}func main() { enckey := "" fmt.Println(enckey) a, _ := base64.StdEncoding.DecodeString(enckey) deckey := ff(a) fmt.Println(string(deckey))}运行对比一下没有问题
这里分析的是mp4，dash解密和mp4一样的，只不过音视频分离的而已，解密位置稍微不同，解密函数基本一样
3.真wasm
网站aHR0cHM6Ly93d3cuZGVkYW8uY24vbGl2ZS9kZXRhaWw/aWQ9Wm1PSldEem1iN3ZWSzFMNEVsQVhlOGs5cEtiMXVPZzJickFMeEVCd04wQmcyeWRaYVlvclJNajZHeDNucTUyWA==
这个网站也是用的同样的播放器，根据上面的直接搜索，找到关键位置，不能说类似，只能说完全一样，只不过这里是wasm文件了，下载下来简单看一下
使用jeb，查看代码，根据前面的分析只有前两个函数有用，也就是f13，主要是f12
简单看下f12,这看起来比js那个for循环舒服多了
基本逻辑一样，就不分析了，对照指令表还原就行http://www.dwenzhao.cn/profession/netbuild/webassemblyfunc.html
尤其关注malloc和store指令
二、app
初步分析
app端有很多抖音旗下的基本都用了，以某浪（mp4）和番茄畅听（mp3）为例，注意这条信息里面有个类似网页的参数，但是用网页的解密不行，hook常用算法也没有结果，只有分析代码了
逐步搜索定位关键函数，初步确定位于com.ss.ttvideoengine.JniUtils.getEncryptionKey里面
hook一下，传进来的是byte,转一下base64,hook代码
Java.perform(function x() { function showStacks() { console.log(Java.use("android.util.Log").getStackTraceString(Java.use("java.lang.Exception").$new())); }let JniUtils = Java.use("com.ss.ttvideoengine.JniUtils");JniUtils["getEncryptionKey"].implementation = function (bArr) { showStacks() let base64 = Java.use("android.util.Base64"); let b64 = base64.encodeToString(bArr, 2); console.log("b64: " + b64); console.log('getEncryptionKey is called' + ', ' + 'bArr: ' + bArr); let ret = this.getEncryptionKey(bArr); console.log('getEncryptionKey ret value is ' + ret); return ret;};});
某浪类似的,改下就行
let Native = Java.use("com.ss.ttm.ttvideodecode.Native");Native["_getEncryptionKey"]
