声明

目的

入手分析

分析过程

在类"com.alibaba.sqlcrypto.sqlite.SQLiteDatabase"跟踪到需要的方法
”openOrCreateDatabase“，通过分析openOrCreateDatabase方法最终会走到
类SQLiteConnection的open方法，在open方法中调用了native方法nativeOpen;通过用对注册方法进行hook RegisterNatives方法发现在database_sqlcrypto文件中注册对应的方法。

2:通过以上分析database_sqlcrypto就有可能对数据库加密解密的操作的文件，用ida打开搜到相关的sqlite或者sqlcipher相关的内容,在库里面能发现数据库的一些痕迹。具体可以在参考一些文档：
Android QQ NT 版数据库解密 | yllhwa's blog
[原创]某聊天工具消息记录数据库文件解密逆向分析-软件逆向-看雪-安全社区|安全招聘|kanxue.com
在这个so文件中,能发现
sqlite3_log(21LL, "%s at line %d of [%.10s]", "misuse", 84914LL, "bbd85d235f7037c6a033a9690534391ffeacecc8");这样的log，这个"bbd85d235f7037c6a033a9690534391ffeacecc8"标签是sqlcipher 4.5.1版本标签,推测某钉就是基于这版本修改。你可以下载对应版本源码参看来看这个so文件。

3：通过上面不断的分析,发现某钉的解密稍微跟某q，微稍微有点不一样，对数据的解密算法它单独拎出来了,在分析过程中发现有取现象，加解密函数名字没有抹掉，难道故意放水？发现aes_encrypt_key128,aes_decrypt_key128,aes_encrypt,aes_decrypt函数,对这些进行hook或下断点。在对aes_decrypt分析发现就是aes算法,算法分析对应aes 128，196，256加密的方式,就是128字节对应4*4矩阵加密,具体怎么操作自己baidu，发现加密方式采用了128，也就是10轮计算，

 从图上可以看出就是v4是怎么生成的，不要弯子了密钥生成时用过aes_decrypt_key128函数生成,是根据传入的32字节的前面16字节生成轮密钥。至于加密过程应该应该差不多(有兴趣可以研究下)。dump出来轮密钥也能看出来十轮

 4：现在就是算法还原了

贴了关键部分

5：现在还有一个问题就是java参数是怎么生成的,具体是过程就省了，自己往回跟踪就可以搞定,具体放在xml文件com.alibaba.android.rimet_preferences字段dt_bee_db_phone_*下面的值进行md5得到得到32位值

尾声