posts/pjsk/archive-20240105/

[giscus[bot]]

posts/pjsk/archive-20240105/

Preface Cutoff: 24/01/05 Revision: 24/09/26
其实分析工作主要是在此后才真正起步…不过实在找不到时间写帖子orz
对最新知识有兴趣或也想参与研究的话，还请参阅以下Repo及其Wiki：
https://github.com/mos9527/sssekai https://github.com/mos9527/sssekai_blender_io Project SEKAI 逆向（1）： 文件解密及API初步静态分析 分析variant：ColorfulStage 2.4.1 （Google Play 美服） 1. 解密 metadata 利用 Il2CppDumper 对apk中提取出来的global-metadata.data和il2cpp.so直接分析，可见至少metadata有混淆 IDA静态分析libunity.so, 定位到export的il2cpp_init；没有发现有关混淆的处理 考虑直接分析il2cpp.so，定位到global-metadata.dat有关流程 从这里的xref可以很轻松的摸到Il2Cpp的metadata加载流程
(注：部分变量已更名)
_BYTE *__fastcall MetadataLoader::LoadMetadataFile(char *a1) { unsigned __int64 v2; // x8 char *v3; // x9 __int64 v4; // x0 _BYTE *v5; // x8 unsigned __int64 v6; // x9 const char *v7; // x0 int v8; // w21 int v9; // w20 _BYTE *mapped_metadata; // x19 __int64 v11; // x8 __int64 v13; // [xsp+0h] [xbp-E0h] BYREF unsigned __int64 v14; // [xsp+8h] [xbp-D8h] char *v15; // [xsp+10h] [xbp-D0h] size_t len[2]; // [xsp+30h] [xbp-B0h] __int64 v17[2]; // [xsp+80h] [xbp-60h] BYREF char *v18; // [xsp+90h] [xbp-50h] char *v19; // [xsp+98h] [xbp-48h] BYREF __int64 v20; // [xsp+A0h] [xbp-40h] unsigned __int8 v21; // [xsp+A8h] [xbp-38h] _BYTE v22[15]; // [xsp+A9h] [xbp-37h] BYREF _BYTE *v23; // [xsp+B8h] [xbp-28h] sub_17A953C(); v19 = "Metadata"; v20 = 8LL; v2 = (unsigned __int64)(unsigned __int8)v13 >> 1; if ( (v13 & 1) !

https://mos9527.com/posts/pjsk/archive-20240105/

[ZFirozen]

您好！我有一个小疑问，这几天我也在尝试学习拆包解析，但是是直接用日服最新版本入手的，里面已经没有so文件，不确定是不是已经换成了dex，用这种已经比较复杂的版本感觉对初入者来说不太友好，如果像文章里的路径，从其他服开始拆metadata，然后获取AES的Key和IV以及其他API等等的部分就比较容易了？

[mos9527]

PJSK的metadata加密于不同服务器不一致；观察到的至少于英语（SEGA，EN）服、台服（字节，TW）有出入故不适用。文章中对EN服的metadata静态分析同样也未经测试
就可用性而言提取il2cpp相关二进制的推荐手段仍然是动态从内存提取
关注密钥的话同样也可以利用Frida hook相关过程；此外，各服Key也已知

[lrhtony]

现在都是Split APKs，so在config.arm64_v8a.apk里面

[ZFirozen]

另外我还有一个小问题，虽然说Magisk隐藏完以后应该已经把大部分检测root的方式隐藏了，但保险起见，自己把要用的证书打进一个安卓镜像，然后用这个装模拟器系统里跑，是不是能够在不被检测（或者说和iOS一样的抓包环境）的情况下抓取数据？
因为相比于iOS，安卓玩家想要抓取个人数据，目前似乎确实没有很好的方案（实机上不root的话）

[mos9527]

检测系统细节未知，但可以假设如果有对Magisk的专门检测——也会进行是否在模拟器下运行的检测
考虑台、韩、国服均由字节运营且利用相关检测SDK，也许在模拟器上规避也无法保证安全
不过，sssekai中也有相关用户登陆/数据拉取的API实现；但脱离游戏获取JWT Token的问题还尚未解决：mos9527/sssekai#17
目前推荐的方案是：模拟器上抓到认证 JWT 包后供sssekai使用；值得注意的是这些认证包生命周期很短

[MetaMikuAI]

目前我研究最好的方案应该还是使用模拟器，我使用的是mumu，可以直接修改系统分区，很方便的就把证书打进去，利用 mitmproxy 和 wireguard 一起并不复杂。
另外关于 token 的问题，我研究发现，客户端在 PUT /api/user/<int:user_id>/auth?refreshUpdatedResources=False 的时候携带 credential 换取一次一换的 X-SESSION-TOKEN ，而 credential 这个 jwt 似乎是持久化的，只会在执行引继(POST /api/inherit/user/<string:inherit_id>?isExecuteInherit=True)时由服务端生成并分发新的 credential。此外，引继鉴权中的 X-Inherit-Id-Verify-Token 的生成似乎是本地进行(很反直觉)，不知道有没有可以 hook 获取 key 的可能。

[K-bai]

佬！想问问，最近在sekai.best写live2d的故事阅读器，live2d播放的时候会有特效比如下雨，小偶像的kirakira效果之类的种类特别多，在资源里面也有定义，比如scenario/effect/kirakira_01_rip/里面的kirakira_01.anim。我现在是参照实机的效果用pixi实现的，不知道有没有什么办法能解析这些anim文件直接渲染到canvas呢...感觉可能和live2d的motion是类似的解析方法？但我不太懂unity

[mos9527]

实现上这些资产利用了 Unity 自己的粒子系统（如图）

即若需要直接实现这样的效果不可避免的需要重新实现粒子模拟的诸多细节，看起来不是很现实
但同时或许可以考虑使用 Unity Web Player 在Unity中重现；游戏的bundle可以直接加载并实例化于Unity编辑器(2022.3.21f1)中(同样如上图)

[K-bai]

逐渐理解一切！去研究研究unity谢谢佬！

[K-bai]

经过几天尝试发现确实 游戏引擎这玩意实属不是我一个普通人能碰的玩意 就算一个小模块也是；；覆盖一层unity player似乎也不是太好的方案 没看到有比较合适的嵌入方法而且似乎太臃肿了 还是想简单了 就这样吧凑合凑合得了；；