签名验证 - 标签 - 逆向工程 Cookbook

Web 逆向工程 Cookbook

overkazaf@gmail.com (+5) — Fri, 25 Jul 2025 00:00:00 +0000

Web 逆向工程 Cookbook

欢迎来到 Web RE Cookbook —— 一本实战导向的 Web 逆向工程实用手册。

速查表 - Cheat Sheets

overkazaf@gmail.com (+5) — Sun, 19 Jan 2025 00:00:00 +0000

速查表 - Cheat Sheets

快速参考手册，帮助你在逆向过程中快速查找常用命令、特征和配置。

快速入门

overkazaf@gmail.com (+5) — Wed, 06 Mar 2024 00:00:00 +0000

快速入门

欢迎！这个指南将帮助你在 10 分钟内完成第一次 Android 逆向分析。

金融网站逆向案例

overkazaf@gmail.com (+5) — Mon, 13 Oct 2025 00:00:00 +0000

金融网站逆向案例

概述

金融网站通常具有极高的安全要求，包括多层加密、动态令牌、设备指纹、行为分析等。本文通过真实案例介绍金融网站的逆向分析方法和安全机制。

视频 App 与 DRM 案例

overkazaf@gmail.com (+5) — Mon, 15 Sep 2025 00:00:00 +0000

视频 App 与 DRM 案例

电商网站逆向案例

overkazaf@gmail.com (+5) — Sat, 06 Sep 2025 00:00:00 +0000

电商网站逆向案例

概述

电商网站通常具有复杂的反爬虫机制，包括 API 签名、加密价格、滑块验证码等。本文通过实际案例介绍电商网站的逆向思路。

Apache Flink 实时流处理

overkazaf@gmail.com (+5) — Sat, 09 Aug 2025 00:00:00 +0000

Apache Flink 实时流处理

Apache Flink 是一个分布式流处理框架，专为低延迟、高吞吐量的实时数据处理而设计。

音乐 App 案例

overkazaf@gmail.com (+5) — Tue, 29 Jul 2025 00:00:00 +0000

音乐 App 案例

搜索引擎对抗

overkazaf@gmail.com (+5) — Sun, 27 Jul 2025 00:00:00 +0000

搜索引擎对抗

概述

搜索引擎拥有业界最强的反爬虫防护机制。本文通过 5 个真实案例，讲解搜索引擎的防护技术及其对抗策略。

WebAssembly 逆向

overkazaf@gmail.com (+5) — Tue, 17 Jun 2025 00:00:00 +0000

WebAssembly 逆向

思考时刻

在深入 WebAssembly 逆向之前，先挑战一下你的认知：

新闻聚合网站

overkazaf@gmail.com (+5) — Sat, 14 Jun 2025 00:00:00 +0000

新闻聚合网站

概述

新闻聚合网站（如 Hacker News、Reddit、今日头条）汇集多个新闻源，并提供个性化推荐。本文通过 5 个真实案例，深入讲解新闻聚合平台的逆向技术。

分布式爬虫架构模板

overkazaf@gmail.com (+5) — Wed, 11 Jun 2025 00:00:00 +0000

分布式爬虫架构模板

基于 Scrapy + Redis 的分布式爬虫架构，支持多机协同、任务调度和数据去重。

开源项目推荐

overkazaf@gmail.com (+5) — Sun, 08 Jun 2025 00:00:00 +0000

开源项目推荐

概述

本章精选了 Web 逆向工程领域的优质开源项目，涵盖工具、框架、库和学习资源。这些项目可以帮助你快速入门、提升技能、解决实际问题。

加密算法特征速查表

overkazaf@gmail.com (+5) — Thu, 05 Jun 2025 00:00:00 +0000

加密算法特征速查表

输出长度特征

算法	输出长度	输出格式	示例
MD5	32 字符	十六进制	`5d41402abc4b2a76b9719d911017c592`
SHA1	40 字符	十六进制	`aaf4c61ddcc5e8a2dabede0f3b482cd9aea9434d`
SHA256	64 字符	十六进制	`e3b0c44298fc1c149afbf4c8996fb...`
SHA512	128 字符	十六进制	`cf83e1357eefb8bdf1542850d66d8...`
AES	可变	Base64	`U2FsdGVkX1+LpXMIpGBwDA==`
RSA-2048	256 字节	Base64	长字符串

JavaScript 库特征

CryptoJS

// 特征代码
CryptoJS.MD5(text);
CryptoJS.SHA256(text);
CryptoJS.AES.encrypt(text, key);
CryptoJS.enc.Base64.stringify();
CryptoJS.lib.WordArray;

识别要点:

反分析技术案例

overkazaf@gmail.com (+5) — Sun, 01 Jun 2025 00:00:00 +0000

反分析技术案例

常见问题 (FAQ)

overkazaf@gmail.com (+5) — Tue, 27 May 2025 00:00:00 +0000

常见问题 (FAQ)

概述

本章汇总了 Web 逆向工程中的常见问题和解答，帮助你快速解决常见困惑。

网络和请求问题

overkazaf@gmail.com (+5) — Sat, 24 May 2025 00:00:00 +0000

网络和请求问题

常见的网络连接和 HTTP 请求问题及解决方案。

HTTP 头速查表

overkazaf@gmail.com (+5) — Wed, 14 May 2025 00:00:00 +0000

HTTP 头速查表

常见请求头 (Request Headers)

Header	说明	示例
User-Agent	客户端信息	`Mozilla/5.0 (Windows NT 10.0; Win64; x64)...`
Accept	可接受的内容类型	`application/json, text/plain, /`
Accept-Language	可接受的语言	`zh-CN,zh;q=0.9,en;q=0.8`
Accept-Encoding	可接受的编码	`gzip, deflate, br`
Content-Type	请求体内容类型	`application/json; charset=UTF-8`
Content-Length	请求体长度	`1234`
Authorization	认证信息	`Bearer eyJhbGciOiJIUzI1NiIs...`
Cookie	Cookie 数据	`session_id=abc123; user=admin`
Referer	来源页面	`https://example.com/page1`
Origin	请求来源	`https://example.com`
Host	目标主机	`api.example.com`
Connection	连接方式	`keep-alive`
Cache-Control	缓存控制	`no-cache, no-store`
Pragma	HTTP/1.0 缓存控制	`no-cache`
If-Modified-Since	条件请求	`Wed, 21 Oct 2025 07:28:00 GMT`
If-None-Match	ETag 条件请求	`"686897696a7c876b7e"`
Range	范围请求	`bytes=0-1024`
X-Requested-With	标识 AJAX 请求	`XMLHttpRequest`
X-CSRF-Token	CSRF 令牌	`abc123def456`

常见响应头 (Response Headers)

Header	说明	示例
Content-Type	响应内容类型	`application/json; charset=utf-8`
Content-Length	响应体长度	`1234`
Content-Encoding	响应编码	`gzip`
Set-Cookie	设置 Cookie	`session_id=abc123; Path=/; HttpOnly`
Cache-Control	缓存策略	`max-age=3600, must-revalidate`
Expires	过期时间	`Wed, 21 Oct 2025 07:28:00 GMT`
ETag	资源标识	`"686897696a7c876b7e"`
Last-Modified	最后修改时间	`Wed, 21 Oct 2025 07:28:00 GMT`
Location	重定向地址	`https://example.com/new-page`
Server	服务器信息	`nginx/1.18.0`
X-Powered-By	技术栈	`PHP/7.4.0`
Access-Control-Allow-Origin	CORS 允许来源	`*` 或 `https://example.com`
Access-Control-Allow-Methods	CORS 允许方法	`GET, POST, PUT, DELETE`
Access-Control-Allow-Headers	CORS 允许头	`Content-Type, Authorization`
Access-Control-Max-Age	CORS 预检缓存	`3600`
Strict-Transport-Security	HSTS	`max-age=31536000; includeSubDomains`
X-Frame-Options	防点击劫持	`DENY`
X-Content-Type-Options	防 MIME 嗅探	`nosniff`
X-XSS-Protection	XSS 过滤器	`1; mode=block`

安全相关头

请求安全头

# CSRF 防护
X-CSRF-Token: abc123def456
X-XSRF-TOKEN: abc123def456

# 自定义签名
X-Signature: md5_hash_value
X-Sign: sha256_hash_value
X-Timestamp: 1702887654321

# API密钥
X-API-Key: your_api_key_here
API-Key: your_api_key_here

响应安全头

# 内容安全策略
Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'

# XSS 防护
X-XSS-Protection: 1; mode=block

# 防点击劫持
X-Frame-Options: SAMEORIGIN

# MIME 类型嗅探防护
X-Content-Type-Options: nosniff

# Referer 策略
Referrer-Policy: no-referrer-when-downgrade

# 权限策略
Permissions-Policy: geolocation=(), camera=()

Content-Type 常见值

请求/响应通用

Content-Type	说明	用途
`application/json`	JSON 数据	API 请求/响应
`application/x-www-form-urlencoded`	表单数据	传统表单提交
`multipart/form-data`	文件上传	含文件的表单
`text/html`	HTML 文档	网页
`text/plain`	纯文本	文本文件
`text/css`	CSS 样式	样式表
`text/javascript`	JavaScript	JS 文件
`application/javascript`	JavaScript	JS 文件（新标准）
`application/xml`	XML 数据	XML 格式
`text/xml`	XML 文本	XML 文本
`application/octet-stream`	二进制流	文件下载
`image/jpeg`	JPEG 图片	图片
`image/png`	PNG 图片	图片
`image/gif`	GIF 图片	动图
`image/svg+xml`	SVG 图片	矢量图
`video/mp4`	MP4 视频	视频
`audio/mpeg`	MP3 音频	音频

自定义头示例

常见的自定义业务头

# 版本控制
X-API-Version: 1.0
X-Client-Version: 2.3.1

# 设备信息
X-Device-ID: 1234567890abcdef
X-Device-Type: mobile
X-Platform: ios
X-OS-Version: 14.5

# 追踪和调试
X-Request-ID: uuid-1234-5678
X-Trace-ID: trace_abc123
X-Debug: true

# 地理位置
X-Geo-Country: CN
X-Geo-City: Beijing
X-Client-IP: 1.2.3.4

# A/B测试
X-Experiment: variant_b
X-Feature-Flag: new_ui_enabled

User-Agent 示例

桌面浏览器

# Chrome (Windows)
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36

# Firefox (Windows)
Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:121.0) Gecko/20100101 Firefox/121.0

# Edge (Windows)
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36 Edg/120.0.0.0

# Safari (macOS)
Mozilla/5.0 (Macintosh; Intel Mac OS X 14_1) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.1 Safari/605.1.15

移动浏览器

# iPhone Safari
Mozilla/5.0 (iPhone; CPU iPhone OS 17_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.1 Mobile/15E148 Safari/604.1

# Android Chrome
Mozilla/5.0 (Linux; Android 13; SM-S908B) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Mobile Safari/537.36

# iPad Safari
Mozilla/5.0 (iPad; CPU OS 17_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.1 Mobile/15E148 Safari/604.1

爬虫/工具

# Python Requests
python-requests/2.31.0

# Postman
PostmanRuntime/7.36.0

# cURL
curl/7.68.0

Authorization 方式

Bearer Token

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

Basic Auth

Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=
# (username:password 的 Base64编码)

Digest Auth

Authorization: Digest username="user", realm="example.com", nonce="abc123", uri="/api", response="def456"

API Key

Authorization: ApiKey your_api_key_here
# 或
X-API-Key: your_api_key_here

Set-Cookie: session_id=abc123; Domain=example.com; Path=/; Expires=Wed, 21 Oct 2025 07:28:00 GMT; Max-Age=3600; Secure; HttpOnly; SameSite=Strict

属性说明:

基于 AOSP 的深度改机技术指南

overkazaf@gmail.com (+5) — Wed, 30 Apr 2025 00:00:00 +0000

基于 AOSP 的深度改机技术指南

在 Android 安全和逆向工程领域，“改机"指的是修改设备的各种硬件和软件标识符，以绕过应用程序的安全检测或实现隐私保护。虽然使用 Xposed 或 Frida 等 Hook 框架可以在应用层实现改机，但这些方法容易被检测。基于 AOSP (Android Open Source Project) 源码进行修改，是从系统层面伪造设备指纹的终极手段，因为 App 获取到的信息是由系统本身"真实"地提供的。

Android 沙箱技术与实现指南

overkazaf@gmail.com (+5) — Sun, 27 Apr 2025 00:00:00 +0000

Android 沙箱技术与实现指南

Android 沙箱技术，通常也被称为"虚拟化引擎"或"App 多开框架"，是一种在单个 Android 设备上创建隔离环境以运行其他应用程序的技术。它允许一个"宿主"应用程序在自己的进程空间内加载并运行一个"插件"应用程序，同时对插件应用的所有系统交互进行拦截和管理。

SO 文件反调试与字符串混淆技术

overkazaf@gmail.com (+5) — Fri, 25 Apr 2025 00:00:00 +0000

SO 文件反调试与字符串混淆技术

在 Android Native 层安全对抗中，SO 文件是实现高强度保护的重要载体。通过 init_array 机制、字符串混淆和反调试技术的组合使用，可以显著提高逆向分析的难度。本文将深入分析这些技术的实现原理及对应的分析绕过方法。

绕过 App 对 Frida 的检测

overkazaf@gmail.com (+5) — Tue, 22 Apr 2025 00:00:00 +0000

绕过 App 对 Frida 的检测

视频网站逆向

overkazaf@gmail.com (+5) — Mon, 21 Apr 2025 00:00:00 +0000

视频网站逆向

概述

视频网站是最具挑战性的逆向工程目标之一。本文通过 5 个真实案例，深入讲解视频平台的核心防护机制及其逆向方法。

使用静态分析定位 Android App 的关键逻辑

overkazaf@gmail.com (+5) — Thu, 10 Apr 2025 00:00:00 +0000

使用静态分析定位 Android App 的关键逻辑

常用命令速查表

overkazaf@gmail.com (+5) — Sat, 05 Apr 2025 00:00:00 +0000

常用命令速查表

Chrome DevTools Console 命令

选择元素

命令	说明	示例
`$()`	等同于 `document.querySelector()`	`$('#username')`
`$$()`	等同于 `document.querySelectorAll()`	`$$('.item')`
`$x()`	XPath 选择器	`$x('//div[@class="container"]')`
`$0`	当前选中的元素	`$0.innerHTML`
`$1`	上一个选中的元素	`$1.classList`

实用函数

命令	说明	示例
`copy()`	复制到剪贴板	`copy($0)`
`clear()`	清空 Console	`clear()`
`keys()`	获取对象所有键	`keys(window)`
`values()`	获取对象所有值	`values(localStorage)`
`monitor()`	监控函数调用	`monitor(fetch)`
`unmonitor()`	取消监控	`unmonitor(fetch)`
`table()`	表格显示数据	`table([{name:'a',age:20}])`
`debug()`	在函数第一行设断点	`debug(myFunction)`
`undebug()`	移除断点	`undebug(myFunction)`

网络相关

// 查看所有 Cookie
document.cookie;

// 清空所有 Cookie
document.cookie.split(";").forEach((c) => {
document.cookie = c
.replace(/^ +/, "")
.replace(/=.*/, "=;expires=" + new Date().toUTCString() + ";path=/");
});

// 查看 LocalStorage
Object.keys(localStorage);

// 清空 LocalStorage
localStorage.clear();

// 发送 GET 请求
fetch("https://api.example.com/data")
.then((r) => r.json())
.then(console.log);

// 发送 POST 请求
fetch("https://api.example.com/login", {
method: "POST",
headers: { "Content-Type": "application/json" },
body: JSON.stringify({ username: "admin", password: "123456" }),
})
.then((r) => r.json())
.then(console.log);

Python 常用库

Requests

import requests

# GET 请求
response = requests.get('https://example.com')
print(response.text)

# POST 请求
response = requests.post('https://example.com/api', json={
'username': 'admin',
'password': '123456'
})
print(response.json())

# 设置 Headers
headers = {
'User-Agent': 'Mozilla/5.0 ...',
'Authorization': 'Bearer token123'
}
response = requests.get('https://example.com', headers=headers)

# 使用代理
proxies = {
'http': 'http://127.0.0.1:8080',
'https': 'http://127.0.0.1:8080'
}
response = requests.get('https://example.com', proxies=proxies)

# Session 保持
session = requests.Session()
session.get('https://example.com/login')
session.post('https://example.com/api', json={'key': 'value'})

BeautifulSoup

from bs4 import BeautifulSoup

# 解析 HTML
soup = BeautifulSoup(html, 'html.parser')

# 查找元素
soup.find('div', class_='content') # 查找第一个
soup.find_all('a') # 查找所有
soup.select('.class #id tag') # CSS 选择器

# 获取属性
element = soup.find('a')
element.get('href') # 获取 href
element.text # 获取文本
element.get_text(strip=True) # 获取文本（去空格）

Regex (re)

import re

# 查找
match = re.search(r'pattern', text)
matches = re.findall(r'pattern', text)

# 替换
result = re.sub(r'old', 'new', text)

# 编译（提高性能）
pattern = re.compile(r'pattern')
matches = pattern.findall(text)

cURL 命令

基本用法

# GET 请求
curl https://example.com

# POST 请求
curl -X POST https://example.com/api \
-H "Content-Type: application/json" \
-d '{"username":"admin","password":"123456"}'

# 设置 User-Agent
curl -A "Mozilla/5.0 ..." https://example.com

# 保存 Cookie
curl -c cookies.txt https://example.com

# 使用 Cookie
curl -b cookies.txt https://example.com

# 跟随重定向
curl -L https://example.com

# 显示响应头
curl -i https://example.com

# 只显示响应头
curl -I https://example.com

# 使用代理
curl -x http://127.0.0.1:8080 https://example.com

# 忽略 SSL 证书
curl -k https://example.com

# 上传文件
curl -F "file=@/path/to/file" https://example.com/upload

调试用法

# 显示详细信息
curl -v https://example.com

# 显示时间统计
curl -w "@curl-format.txt" -o /dev/null -s https://example.com

# curl-format.txt 内容:
# time_namelookup: %{time_namelookup}\n
# time_connect: %{time_connect}\n
# time_appconnect: %{time_appconnect}\n
# time_redirect: %{time_redirect}\n
# time_pretransfer: %{time_pretransfer}\n
# time_starttransfer: %{time_starttransfer}\n
# ----------\n
# time_total: %{time_total}\n

Git 常用命令

基础操作

# 查看状态
git status

# 添加文件
git add .
git add file.txt

# 提交
git commit -m "message"

# 推送
git push origin master

# 拉取
git pull origin master

# 查看历史
git log
git log --oneline --graph

# 回退
git reset --hard HEAD^ # 回退一个版本
git reset --hard commit_id # 回退到指定版本

分支操作

# 创建分支
git branch feature-name

# 切换分支
git checkout feature-name

# 创建并切换
git checkout -b feature-name

# 合并分支
git merge feature-name

# 删除分支
git branch -d feature-name

查看差异

# 查看修改
git diff

# 查看已暂存的修改
git diff --staged

# 查看两个提交的差异
git diff commit1 commit2

Node.js / npm

包管理

# 安装包
npm install package-name
npm install -g package-name # 全局安装
npm install --save-dev package # 开发依赖

# 卸载包
npm uninstall package-name

# 更新包
npm update package-name

# 查看已安装的包
npm list
npm list -g

# 查看包信息
npm info package-name

常用脚本

# 运行脚本
npm run script-name

# 常见的预定义脚本
npm start
npm test
npm run build

Bash 文本处理

grep

# 搜索文本
grep "pattern" file.txt

# 忽略大小写
grep -i "pattern" file.txt

# 递归搜索
grep -r "pattern" directory/

# 显示行号
grep -n "pattern" file.txt

# 反向匹配（不包含）
grep -v "pattern" file.txt

# 正则表达式
grep -E "regex pattern" file.txt

sed

# 替换文本
sed 's/old/new/' file.txt # 替换每行第一个
sed 's/old/new/g' file.txt # 替换所有
sed -i 's/old/new/g' file.txt # 直接修改文件

# 删除行
sed '/pattern/d' file.txt # 删除匹配的行
sed '1d' file.txt # 删除第一行
sed '1,10d' file.txt # 删除1-10行

awk

# 打印列
awk '{print $1}' file.txt # 打印第一列
awk '{print $1,$3}' file.txt # 打印第1和第3列

# 条件过滤
awk '$3 > 100' file.txt # 第3列大于100的行

# 求和
awk '{sum+=$1} END {print sum}' file.txt

Docker 常用命令

镜像操作

# 拉取镜像
docker pull image-name

# 查看镜像
docker images

# 删除镜像
docker rmi image-name

# 构建镜像
docker build -t image-name .

容器操作

# 运行容器
docker run -d --name container-name image-name
docker run -it image-name /bin/bash # 交互式

# 查看容器
docker ps # 运行中的
docker ps -a # 所有的

# 停止容器
docker stop container-name

# 启动容器
docker start container-name

# 删除容器
docker rm container-name

# 查看日志
docker logs container-name

# 进入容器
docker exec -it container-name /bin/bash

快速参考

编码/解码

# Base64
import base64
encoded = base64.b64encode(b'text')
decoded = base64.b64decode(encoded)

# URL编码
from urllib.parse import quote, unquote
encoded = quote('text with spaces')
decoded = unquote(encoded)

# JSON
import json
json_str = json.dumps({'key': 'value'})
obj = json.loads(json_str)

时间戳

import time
import datetime

# 当前时间戳（秒）
timestamp = int(time.time())

# 当前时间戳（毫秒）
timestamp_ms = int(time.time() * 1000)

# 时间戳转日期
dt = datetime.datetime.fromtimestamp(timestamp)
print(dt.strftime('%Y-%m-%d %H:%M:%S'))

# 日期转时间戳
dt = datetime.datetime(2024, 1, 1, 12, 0, 0)
timestamp = int(dt.timestamp())

// JavaScript
const timestamp = Date.now(); // 毫秒
const timestampSec = Math.floor(Date.now() / 1000); // 秒

// 时间戳转日期
const date = new Date(timestamp);
console.log(date.toLocaleString());

SO 运行时仿真技术

overkazaf@gmail.com (+5) — Thu, 03 Apr 2025 00:00:00 +0000

SO 运行时仿真技术

在高级 Android 逆向工程中，我们经常需要自动化地调用 SO 文件中的加密、签名或校验函数。然而，在真实的设备上通过 Frida Hook 来做这件事，不仅效率低下，而且容易受到反调试和环境检测的阻碍。

JavaScript Hook 脚本

overkazaf@gmail.com (+5) — Mon, 31 Mar 2025 00:00:00 +0000

JavaScript Hook 脚本

概述

Hook（钩子）是逆向工程中最核心的动态分析技术之一。通过运行时劫持(Runtime Interception)原生 API 或自定义函数，可以实现对目标代码的无侵入式监控、参数篡改和行为修改。Hook 技术基于 JavaScript 的动态特性和原型链机制，能够在不修改源代码的情况下改变程序执行流程。

社交媒体逆向案例

overkazaf@gmail.com (+5) — Sun, 23 Mar 2025 00:00:00 +0000

社交媒体逆向案例

概述

社交媒体平台通常包含复杂的 API 调用、无限滚动加载、实时通信、内容推荐算法等。本文通过真实案例介绍社交媒体平台的逆向分析技巧。

C 代码：用于运行时仿真与设备指纹生成

overkazaf@gmail.com (+5) — Sat, 22 Mar 2025 00:00:00 +0000

C 代码：用于运行时仿真与设备指纹生成

脱壳分析加固的 Android 应用

overkazaf@gmail.com (+5) — Sat, 22 Mar 2025 00:00:00 +0000

脱壳分析加固的 Android 应用

正则表达式速查表

overkazaf@gmail.com (+5) — Wed, 05 Mar 2025 00:00:00 +0000

正则表达式速查表

常用元字符

元字符	说明	示例
`.`	任意单个字符（除换行）	`a.c` 匹配 `abc`, `a1c`
`*`	0 次或多次	`ab*` 匹配 `a`, `ab`, `abb`
`+`	1 次或多次	`ab+` 匹配 `ab`, `abb` (不匹配`a`)
`?`	0 次或 1 次	`ab?` 匹配 `a`, `ab`
`^`	行首	`^hello` 匹配行首的 hello
`$`	行尾	`world$` 匹配行尾的 world
`\`	转义字符	`\.` 匹配点号
`	`	或	`cat	dog` 匹配 cat 或 dog
`[]`	字符集	`[abc]` 匹配 a 或 b 或 c
`[^]`	否定字符集	`[^abc]` 不匹配 a,b,c
`()`	分组	`(ab)+` 匹配 ab, abab

预定义字符类

字符类	等价于	说明
`\d`	`[0-9]`	数字
`\D`	`[^0-9]`	非数字
`\w`	`[a-zA-Z0-9_]`	单词字符
`\W`	`[^a-zA-Z0-9_]`	非单词字符
`\s`	`[ \t\n\r\f\v]`	空白字符
`\S`	`[^ \t\n\r\f\v]`	非空白字符

Web 逆向常用模式

URL 匹配

# 完整 URL
https?://[\w\-\.]+(/[\w\-\./?%&=]*)?

# 提取域名
https?://([^/]+)

# 提取路径
https?://[^/]+(/[^?]+)

# 提取查询参数
[?&]([^=]+)=([^&]+)

# 提取所有 URL (宽松)
https?://[^\s]+

Python 示例:

群控技术 vs API 逆向：技术路线选择指南

overkazaf@gmail.com (+5) — Sat, 01 Mar 2025 00:00:00 +0000

群控技术 vs API 逆向：技术路线选择指南

在移动端数据采集和自动化领域，群控技术和 API 逆向是两条主流的技术路线。本文将从多个维度对比分析两者的优劣，帮助你根据实际场景选择合适的方案。

逆向技术：动态住宅 IP 代理池

overkazaf@gmail.com (+5) — Thu, 27 Feb 2025 00:00:00 +0000

逆向技术：动态住宅 IP 代理池

使用动态分析验证和探索 Android App 的运行时行为

overkazaf@gmail.com (+5) — Wed, 26 Feb 2025 00:00:00 +0000

使用动态分析验证和探索 Android App 的运行时行为

绕过应用的 Xposed 检测

overkazaf@gmail.com (+5) — Sun, 23 Feb 2025 00:00:00 +0000

绕过应用的 Xposed 检测

JavaScript 反混淆 (Deobfuscation)

overkazaf@gmail.com (+5) — Fri, 21 Feb 2025 00:00:00 +0000

JavaScript 反混淆 (Deobfuscation)

使用 AST 工具和手动技巧，还原混淆代码的可读性，快速定位核心加密逻辑。

JA4+ TLS/QUIC 指纹识别技术详解

overkazaf@gmail.com (+5) — Tue, 18 Feb 2025 00:00:00 +0000

JA4+ TLS/QUIC 指纹识别技术详解

JNI 开发与调用原理

overkazaf@gmail.com (+5) — Sun, 16 Feb 2025 00:00:00 +0000

JNI 开发与调用原理

社交媒体 App 与风控案例

overkazaf@gmail.com (+5) — Thu, 13 Feb 2025 00:00:00 +0000

社交媒体 App 与风控案例

逆向分析项目模板

overkazaf@gmail.com (+5) — Fri, 31 Jan 2025 00:00:00 +0000

逆向分析项目模板

Web 逆向分析的标准项目模板，帮助你系统化地进行网站分析和文档记录。

VMP 分析

overkazaf@gmail.com (+5) — Thu, 30 Jan 2025 00:00:00 +0000

VMP 分析

SO 文件字符串混淆对抗指南

overkazaf@gmail.com (+5) — Sun, 19 Jan 2025 00:00:00 +0000

SO 文件字符串混淆对抗指南

调试技巧与断点设置

overkazaf@gmail.com (+5) — Tue, 31 Dec 2024 00:00:00 +0000

调试技巧与断点设置

概述

调试是逆向工程的核心技能。掌握高级调试技巧可以大幅提升逆向效率，快速定位关键代码，理解程序逻辑。

工程化：虚拟化与容器技术

overkazaf@gmail.com (+5) — Sat, 28 Dec 2024 00:00:00 +0000

工程化：虚拟化与容器技术

抓包分析 Android 应用的网络流量

overkazaf@gmail.com (+5) — Sat, 07 Dec 2024 00:00:00 +0000

抓包分析 Android 应用的网络流量

学习资源 (Learning Resources)

overkazaf@gmail.com (+5) — Thu, 05 Dec 2024 00:00:00 +0000

学习资源 (Learning Resources)

本页面收集了 Android 逆向工程领域的高质量学习资源，包括书籍、博客、论坛、社区和课程。

书籍 (Books)

入门与基础

《Android 软件安全与逆向分析》 (丰生强 / 非虫) 经典的入门书籍，涵盖了 Android 系统架构、Smali 语法、静态分析、动态调试等基础知识。
《Android 安全攻防实战》 (EaaLaboratory) 偏向实战，包含很多案例分析。

进阶与深入

《Android Internals: A Confectioner’s Cookbook》 (Jonathan Levin) 链接深入剖析 Android 系统内部原理，是理解 Android 底层机制的必读之作。
《Android Hacker’s Handbook》 (Joshua J. Drake et al.) 全面介绍 Android 安全架构、漏洞挖掘和利用技术。
《MASTG - Mobile App Security Testing Guide》 (OWASP) 链接 OWASP 发布的移动应用安全测试指南，涵盖了 iOS 和 Android 平台的安全测试方法论和技术细节，是行业标准参考文档。

博客与网站 (Blogs & Websites)

个人博客

Maddie Stone (Project Zero) 专注于 Android 恶意软件分析和漏洞挖掘，文章质量极高。
R0ysue (肉丝) 国内知名的 Android 逆向专家，Frida 领域的领军人物。
Wei (LSPosed Developer) 深入研究 Android Runtime (ART) 和 Hook 技术。
Orange Tsai Web 和移动安全领域的知名研究员，常有精彩的利用思路。

技术团队与厂商

Google Project Zero 链接 Google 的安全研究团队，发布了大量关于 Android 内核、驱动和框架层的高质量漏洞分析报告。
Quarkslab Blog 链接发布了许多关于混淆、反混淆和底层逆向工具（如 Triton）的研究文章。
Check Point Research 经常披露 Android 恶意软件和高危漏洞。

论坛与社区 (Forums & Communities)

52pojie (吾爱破解) 链接国内最大的破解和逆向技术交流论坛，拥有丰富的教程、工具和活跃的社区氛围。
Kanxue (看雪论坛) 链接国内老牌的安全技术社区，专注于二进制安全、漏洞挖掘和内核安全，技术深度较高。
XDA Developers 链接全球最大的 Android 开发者社区，关于 ROM 定制、Root、Xposed/Magisk 模块的资源非常丰富。
Reddit r/ReverseEngineering 链接国际逆向工程技术讨论区，汇集了全球的逆向爱好者和专家。
Reddit r/androiddev 链接虽然侧重开发，但了解开发者的思维对于逆向工程也非常有帮助。

课程与教程 (Courses & Tutorials)

Frida 官方文档与教程 链接学习 Frida 最权威的资料。
Android App Reverse Engineering 101 (Maddie Stone) 链接 (需查找有效链接或存档) Workshops 形式的入门教程，非常适合初学者。
OWASP Mobile Security Testing Guide (MSTG) Hacking Playground 配合 MSTG 书籍的练习环境。

学术论文 (Academic Papers)

以下是与 Android 逆向工程相关的重要学术论文，涵盖移动安全、恶意软件分析、代码保护等领域。

Web 逆向工程工作流

overkazaf@gmail.com (+5) — Wed, 20 Nov 2024 00:00:00 +0000

Web 逆向工程工作流

一个系统化的 Web 逆向分析完整流程，从初步侦查到自动化实现。

加密算法识别与检测脚本

overkazaf@gmail.com (+5) — Tue, 19 Nov 2024 00:00:00 +0000

加密算法识别与检测脚本

概述

在 Web 逆向工程中，识别目标网站使用的加密算法是分析的第一步。通过自动化检测脚本，可以快速定位加密函数调用点、识别算法类型，并提取关键参数。本章介绍加密算法的特征识别、自动检测方法以及实战 Hook 脚本。

使用 Frida 脱壳加固 App 并修复 SO 文件

overkazaf@gmail.com (+5) — Sat, 09 Nov 2024 00:00:00 +0000

使用 Frida 脱壳加固 App 并修复 SO 文件

OLLVM 反混淆

overkazaf@gmail.com (+5) — Tue, 05 Nov 2024 00:00:00 +0000

OLLVM 反混淆

使用 TLS 指纹识别检测和绕过应用指纹

overkazaf@gmail.com (+5) — Mon, 04 Nov 2024 00:00:00 +0000

使用 TLS 指纹识别检测和绕过应用指纹

动态参数分析

overkazaf@gmail.com (+5) — Fri, 01 Nov 2024 00:00:00 +0000

动态参数分析

概述

当静态代码混淆得像一团乱麻时，动态分析是我们唯一的出路。通过观察参数在运行时的变化，我们可以推导出生成逻辑。

SO 动态库编译与加载

overkazaf@gmail.com (+5) — Tue, 01 Oct 2024 00:00:00 +0000

SO 动态库编译与加载

AST (抽象语法树) 工具

overkazaf@gmail.com (+5) — Mon, 30 Sep 2024 00:00:00 +0000

AST (抽象语法树) 工具

概述

在对抗混淆（Obfuscation）时，字符串替换和正则匹配往往力不从心。AST 为我们提供了操作代码结构的上帝视角。通过解析 AST，我们可以安全地删除死代码、还原控制流平坦化、计算常量表达式。

IDA Pro 入门

overkazaf@gmail.com (+5) — Fri, 06 Sep 2024 00:00:00 +0000

IDA Pro 入门

IDA Pro (Interactive Disassembler Professional) 是由 Hex-Rays 公司开发的一款业界闻名的交互式反汇编器。在逆向工程领域，IDA Pro 被广泛认为是黄金标准，以其最强大的反汇编引擎、无与伦比的处理器支持和极其成熟的生态系统，成为专业人士进行软件分析、漏洞挖掘和恶意软件研究的首选工具。

Xposed 内部原理深度剖析

overkazaf@gmail.com (+5) — Tue, 27 Aug 2024 00:00:00 +0000

Xposed 内部原理深度剖析

Xposed 是一个强大的 Android 框架，允许用户在运行时修改系统和应用程序进程的行为，而无需修改任何 APK 文件。本文档深入探讨了 Xposed 工作的核心原理。

API 逆向与重放攻击

overkazaf@gmail.com (+5) — Sun, 25 Aug 2024 00:00:00 +0000

API 逆向与重放攻击

掌握 API 签名逆向，实现脱离浏览器的自动化请求。

SELinux 安全机制

overkazaf@gmail.com (+5) — Mon, 22 Jul 2024 00:00:00 +0000

SELinux 安全机制

SELinux (Security-Enhanced Linux) 是 Android 安全模型的核心组件，从 Android 4.3 开始引入，Android 5.0 后全面强制执行。理解 SELinux 对于逆向工程、Root 检测绕过、应用沙箱分析至关重要。

Smali 语法入门

overkazaf@gmail.com (+5) — Fri, 12 Jul 2024 00:00:00 +0000

Smali 语法入门

Smali/Baksmali 是 Dalvik 虚拟机字节码的汇编器/反汇编器。Smali 是对 DEX 格式的一种人类可读的表示，允许我们精确地查看和修改应用的行为。理解 Smali 是进行 Android 应用静态 patching（修改后重打包）的关键。

浏览器开发者工具 (DevTools)

overkazaf@gmail.com (+5) — Thu, 27 Jun 2024 00:00:00 +0000

浏览器开发者工具 (DevTools)

思考时刻

在深入学习 DevTools 之前，先思考：

Fiddler Classic 指南

overkazaf@gmail.com (+5) — Tue, 18 Jun 2024 00:00:00 +0000

Fiddler Classic 指南

概述

Fiddler (Classic) 是一款历史悠久、功能强大的抓包工具。虽然界面稍显复古，但其核心优势在于FiddlerScript——允许你用 C# 代码极其灵活地控制 HTTP 请求的每一个细节。

Puppeteer & Playwright

overkazaf@gmail.com (+5) — Mon, 17 Jun 2024 00:00:00 +0000

Puppeteer & Playwright

概述

Puppeteer (基于 CDP) 和 Playwright (支持多浏览器) 是现代 Web 自动化的首选工具。在逆向中，我们需要利用它们来：

Unidbg 模拟执行框架指南

overkazaf@gmail.com (+5) — Sun, 09 Jun 2024 00:00:00 +0000

Unidbg 模拟执行框架指南

Unidbg 是一个基于 Java 开发的 Android/iOS 原生库 (.so/.dylib) 模拟执行框架。它能够在 PC 上模拟完整的 ARM 执行环境，使你可以像调用本地 Java 方法一样直接调用和调试原生库中的函数。

TLS/SSL 握手过程

overkazaf@gmail.com (+5) — Sat, 08 Jun 2024 00:00:00 +0000

TLS/SSL 握手过程

概述

在 HTTPS 通信中，TLS/SSL 握手是建立安全连接的第一个环节。对于逆向工程，理解握手过程是破解 SSL Pinning（证书固定）和进行流量解密（MITM）的基础。

Burp Suite 指南

overkazaf@gmail.com (+5) — Tue, 14 May 2024 00:00:00 +0000

Burp Suite 指南

概述

Burp Suite 不仅仅是渗透测试神器，也是 Web 逆向中最強大的中间人攻击（MITM）工具。它不仅能抓包，还能修改重发、暴力破解签名、自动化解码等。本指南仅关注逆向工程中常用的功能。

Android 运行时 (ART) 深度解析

overkazaf@gmail.com (+5) — Tue, 07 May 2024 00:00:00 +0000

Android 运行时 (ART) 深度解析

ART (Android Runtime) 是 Android 5.0 (Lollipop) 之后默认的应用程序运行时环境，取代了旧的 Dalvik 虚拟机 (DVM)。ART 的引入显著改变了 Android 应用的执行方式，旨在提高应用的性能、启动速度和电池续航。

Web API 与 Ajax

overkazaf@gmail.com (+5) — Sun, 28 Apr 2024 00:00:00 +0000

Web API 与 Ajax

概述

Web API 和 Ajax 是现代 Web 应用的核心。对于逆向工程师来说，理解这些技术是拦截网络请求、分析数据流向以及绕过某些安全检测的基础。

DEX 文件相关

overkazaf@gmail.com (+5) — Sat, 27 Apr 2024 00:00:00 +0000

DEX 文件相关

DEX (Dalvik Executable) 文件是 Android 操作系统的核心组成部分之一。它们是专门为在内存和处理器速度受限的设备上高效运行而设计的。本指南将深入探讨 DEX 文件的定义、格式、运行原理以及相关工具。

APK 文件结构详解

overkazaf@gmail.com (+5) — Wed, 24 Apr 2024 00:00:00 +0000

APK 文件结构详解

APK (Android Package) 是 Android 操作系统用于分发和安装移动应用的文件格式。它本质上是一个 ZIP 归档文件，包含了应用的所有代码、资源、证书等。理解其内部结构是逆向工程和安全分析的第一步。

JavaScript 基础

overkazaf@gmail.com (+5) — Wed, 17 Apr 2024 00:00:00 +0000

JavaScript 基础

概述

JavaScript 是 Web 逆向工程中最重要的语言。掌握 JavaScript 的核心概念对于理解和分析 Web 应用至关重要。

TOTP 技术原理

overkazaf@gmail.com (+5) — Sat, 13 Apr 2024 00:00:00 +0000

TOTP 技术原理

TOTP (Time-Based One-Time Password) 是一种基于时间的一次性密码算法，广泛应用于双因素认证 (2FA) 和 API 防护场景。

Cookie 与 Storage

overkazaf@gmail.com (+5) — Tue, 09 Apr 2024 00:00:00 +0000

概述

Web 应用需要在客户端存储数据，用于维持会话状态（Session）、保存用户偏好或缓存数据。在逆向工程中，这些存储位置往往是寻找 Token、密钥或敏感信息的首选之地。

Android .so 文件详解 (ELF Format)

overkazaf@gmail.com (+5) — Fri, 05 Apr 2024 00:00:00 +0000

Android .so 文件详解 (ELF Format)

.so 文件（Shared Object）是 Android 平台上的原生共享库，等同于 Windows 上的 .dll 或 Linux 上的 .so。它们包含了由 C/C++ 等原生代码编译而成的机器码。在 Android 逆向工程中，分析 .so 文件是理解应用核心逻辑、破解加密算法和绕过安全机制的关键一步。

Android Studio 调试工具集

overkazaf@gmail.com (+5) — Thu, 04 Apr 2024 00:00:00 +0000

Android Studio 调试工具集

Android Studio 不仅仅是一个代码编辑器，它还集成了一套强大、可视化的调试和分析工具，能够极大地提升开发和逆向分析的效率。熟悉这些工具是每个 Android 工程师的必备技能。

HTTP/HTTPS 协议

overkazaf@gmail.com (+5) — Thu, 04 Apr 2024 00:00:00 +0000

HTTP/HTTPS 协议

概述

HTTP (HyperText Transfer Protocol) 和 HTTPS (HTTP Secure) 是 Web 通信的基础协议。理解这些协议对于 Web 逆向工程至关重要。

配方：解密 API 参数

overkazaf@gmail.com (+5) — Mon, 01 Apr 2024 00:00:00 +0000

配方：解密 API 参数

配方信息

项目	说明
难度	⭐⭐ (初级)
预计时间	30-45 分钟
所需工具	Chrome 浏览器, Python 3.7+
适用场景	破解 API 签名、解密请求参数
前置知识	完成你的第一个 Hook

📚 前置知识

在开始本配方之前，建议先掌握以下内容：

签名验证 - 标签 - 逆向工程 Cookbook

Web 逆向工程 Cookbook

Web 逆向工程 Cookbook

速查表 - Cheat Sheets

速查表 - Cheat Sheets

快速入门

快速入门

金融网站逆向案例

金融网站逆向案例

概述

视频 App 与 DRM 案例

视频 App 与 DRM 案例

电商网站逆向案例

电商网站逆向案例

概述

Apache Flink 实时流处理

Apache Flink 实时流处理

音乐 App 案例

音乐 App 案例

搜索引擎对抗

搜索引擎对抗

概述

WebAssembly 逆向

WebAssembly 逆向

思考时刻

新闻聚合网站

新闻聚合网站

概述

分布式爬虫架构模板

分布式爬虫架构模板

开源项目推荐

开源项目推荐

概述

加密算法特征速查表

加密算法特征速查表

输出长度特征

JavaScript 库特征

CryptoJS

反分析技术案例

反分析技术案例

常见问题 (FAQ)

常见问题 (FAQ)

概述

网络和请求问题

网络和请求问题

HTTP 头速查表

HTTP 头速查表

常见请求头 (Request Headers)

常见响应头 (Response Headers)

安全相关头

请求安全头

响应安全头

Content-Type 常见值

请求/响应通用

自定义头示例

常见的自定义业务头

User-Agent 示例

桌面浏览器

移动浏览器

爬虫/工具

Authorization 方式

Bearer Token

Basic Auth

Digest Auth

API Key

Cookie 属性

基于 AOSP 的深度改机技术指南

基于 AOSP 的深度改机技术指南

Android 沙箱技术与实现指南

Android 沙箱技术与实现指南

SO 文件反调试与字符串混淆技术

SO 文件反调试与字符串混淆技术

绕过 App 对 Frida 的检测

绕过 App 对 Frida 的检测

视频网站逆向

视频网站逆向

概述

使用静态分析定位 Android App 的关键逻辑

使用静态分析定位 Android App 的关键逻辑

常用命令速查表