一、抓包分析

Flutter应用是内置进行ssl证书校验的，无法通过常规方法抓到包，需要通过frida把它内置的ssl校验hook掉。

ssl证书校验在 libflutter.so 中，拖进ide搜索字符串ssl_server，双击进去找到ssl_crypto_x509_session_verify_cert_chain函数的偏移地址进行hook掉；

hook代码如下：

function hook_ssl() {
    Java.perform(function () {
	var base = Module.findBaseAddress("libflutter.so");
    var ssl_crypto_x509_session_verify_cert_chain = base.add(0x659AEA);
    console.log("找到函数偏移地址：",ssl_crypto_x509_session_verify_cert_chain)
	Interceptor.attach(ssl_crypto_x509_session_verify_cert_chain, {
        onEnter: function(args) {
            console.log("hook 开始！")
        },
        onLeave: function(retval) {
            console.log("返回值: " + retval);
            retval.replace(0x1);
            console.log("解除ssl验证成功\n---------------------");
　　    }
　　});
}
    )};
setTimeout(hook_ssl,1690)   // 设置延时找对hook时机（太快函数还没加载出来，太慢app已经发起请求了）

hook后，配合 Charles+Postern 即可抓到包。

二、dump出dart文件分析

1、reflutter 工具

使用 reflutter 工具进行dump，解出dart文件

pip install reflutter==0.7.7

当前目录cmd运行以下代码，等待10几分钟重构apk

reflutter app.apk

重构完成后会生成新的apk，把它安装到模拟器或者真机中并打开运行，此时系统会在 /data/data/包名/ 路径中生成 dump.dart 文件。使用下面语句把该文件提取到电脑当前目录

adb pull /data/data/包名/dump.dart

搜索md5、rsa、aes等关键字分析要破解的加密算法，使用frida进行hook可疑函数的偏移地址。搜索加密算法关键字没有头绪，可搜索含有 => String 关键字的函数进行hook（因为其返回的是字符串类型）

如果dart文件太长用python进行清洗，只保留方法（方便查看研究）

line_list = open('dump.dart','r').readlines()
result = ''
flag = False
for line in line_list:
    if 'Function ' in line:
        flag = True
    if '}' in line:
        flag = False

    if flag == True:
        result += line
    if 'Code Offset' in line:
        result += "}\n"
open('func.dart','w',encoding='utf-8').write(result)
print(result)

2、B(l)utter 工具

借助开源框架B(l)utter （https://github.com/worawit/blutter）进行dump出dart文件进行分析hook
，推荐使用Linux系统

git clone https://github.com/worawit/blutter --depth=1  #  clone 下 blutter 的项目

sudo apt install python3-pyelftools python3-requests git cmake ninja-build \
    build-essential pkg-config libicu-dev libcapstone-dev

执行下面之前把apk的arm64-v8a的所有文件复制到linux的/home/ubuntu/mydir/arm64-v8a目录下

python3 blutter.py /home/ubuntu/mydir/arm64-v8a out_dir

三、hook方法

hook可疑函数，打印输出调用栈，使用ide进行研究

var app = Module.findExportByName("libapp.so","_kDartIsolateSnapshotInstructions");
var Func = app.add(0x000000000000d2b0)
console.log("找到函数偏移地址：",Func)
Interceptor.attach(Func, {
    onEnter: function(args) {
        console.log('输出调用栈:\n' + Thread.backtrace(this.context, Backtracer.ACCURATE).map(DebugSymbol.fromAddress).join('\n') + '\n');
        console.log("============================= 输入 ===============================","\n")
        for(let i = 0; i < 8; i++) {
            console.log("arg",i,": ", "\n");
            try {
                console.log(hexdump(args[i],{length: 0x130}), "\r\n");  
            } catch (error) {
                console.log((args[i]), "\r\n");
            }

        }

        
    },
    onLeave: function(retval) {
        console.log('输出调用栈:\n' + Thread.backtrace(this.context, Backtracer.ACCURATE).map(DebugSymbol.fromAddress).join('\n') + '\n');
        console.log("============================= 结果 ===============================","\n")
        try {
            console.log(hexdump(retval,{length: 0x130}), "\r\n"); 
            console.log("result:",ptr(retval).readCString()); 
        } catch (error) {
            console.log((retval), "\r\n");
        }

　　    }
　　});

四、Cheat Engine窥看（技巧篇）

如果上面方法还没能研究出啥，可试试这个办法。

Cheat Engine下载官网：https://cheatengine.org/downloads.php

待更新…

五、dart-sdk版本对照表