如何无需反编译获取安卓APP加密算法及正确使用TCP截包？

一、TCP流量嗅探的可行性 #

TCP流量嗅探可行但存在局限性：

• 若目标API采用明文HTTP通信，可直接捕获加密前的请求参数与加密后的提交数据，通过对比两者特征（比如密文长度、字符编码类型）反推加密算法的大致方向。
• 若为HTTPS通信，默认只能获取加密后的流量内容；但通过配置信任第三方CA证书、绕过应用的证书校验检测后，也能捕获明文请求，进而分析加密逻辑。
• 你提及的“他人通过该方式获取加密相关信息”，大概率是在HTTP环境下抓到了明文/密文对，或是在HTTPS环境下成功绕过证书校验后拿到了关键数据。

二、TCP流量嗅探的正确使用步骤 #

工具选择 #

常用工具包括：Wireshark（电脑端可视化工具）、tcpdump（命令行工具）、Packet Capture（安卓端本地工具）、Charles（代理型抓包工具，更适合移动端API分析）。

具体操作流程 #

1. 代理类工具（以Charles为例）配置

• 电脑与目标手机连接同一局域网，查看Charles的代理端口（默认8888）。
• 手机开启WLAN代理，设置为电脑IP地址+Charles代理端口。
• 下载Charles的CA证书并安装到手机系统信任区（仅安装到用户区无法捕获HTTPS流量）。

2. 流量过滤与捕获

• 在Charles中开启SSL代理，添加目标API的域名到代理列表。
• 操作目标应用触发交易API请求，完成完整流程。
• 在Charles的请求序列面板中找到目标请求，查看请求体中的加密参数与响应内容。

3. 绕过应用抓包检测

• 加固应用可能检测代理或自定义证书，此时需用Xposed/LSPosed模块（如JustTrustMe）禁用应用的证书校验逻辑，确保抓包工具能正常获取HTTPS明文。

4. 命令行工具（以tcpdump为例，需root设备）

• 执行命令：tcpdump -i any -w /sdcard/capture.pcap host [目标API的IP]
• 操作应用完成请求后停止抓包，将capture.pcap导出到电脑，用Wireshark打开分析。

三、针对DexProtector加固应用的额外分析思路 #

目标应用加载了libdexprotector.so（商业加固工具的原生组件），核心加密逻辑大概率在原生层，仅靠抓包可能无法完全获取算法细节，建议结合以下方法：

• 逆向分析原生库：用IDA Pro或Ghidra打开libdexprotector.so，搜索encrypt、aes、rsa、encode等关键词定位加密函数，分析函数逻辑与参数。
• 动态调试与Hook：用Frida Hook原生加密函数，打印输入的明文参数与输出的密文结果，直接获取加密逻辑的执行过程；也可Hook应用Java层的加密调用入口，追踪到原生层的调用链。
• 排查未加固代码片段：虽然com.ooredoo.dealer.app.LoginOptions核心源码缺失，但可通过jadx-gui查看其他类对该模块的调用关系，找到加密参数的生成入口。

内容的提问来源于stack exchange，提问作者Rachmat Setiawan