移动飞信android行为简单分析.doc

手机飞信行为简单分析谌侃 20120827一、 实验环境1. Android 4.0.32. Fetion for Android V 4.0.03. Wireshark二、 基本理论：1. 飞信初始化先向服务器40 的http服务器进行post，获取系统设置信息。系统将返回各自服务的服务器地址及端口。2. 飞信的数据包都为TCP包，使用8000端口，所有数据在一条连接上。3. 因为是TCP包，因此会产生ACK包，即每次发送接收都为2个包，同时丢弃包的策略不在可行，或许可以尝试修改包的欺骗方式。4. 手机飞信的每个包出事两个字节，都是表示数据包字节数。5. 数据结构以分隔符开始，分隔符结束，通常以00开始，00结束，分隔符包括00,01,14,13,1a,19前两个字节表示包长度。 分隔符1A 后面跟随 用户id 如 飞信id或手机号分隔符 00 15表示 发送 00 95表示响应 + 目的地分隔符 09 后面跟随相应的参数 如 09 1F Digest * 09 1A + 用户id分隔符 00 13 表示包序号？待定其余待定如00000000 00 5e 00 15 06 09 01 13 31 00 09 1a 3c 31 35 39 . 1.;id-typ00000020 65 3d 6d 6f 62 69 6c 65 00 15 30 00 26 74 79 70 e=mobile .0.&typ00000030 65 3d 22 41 6e 64 72 6f 69 64 22 2c 76 65 72 73 e=Andro id,vers00000040 69 6f 6e 3d 22 34 2e 30 2e 30 22 00 27 32 39 31 ion=4.0 .0.29100000050 35 33 33 32 37 32 39 35 38 33 00 14 33 00 53327295 83.3.包结构应该是00 5e 数据大小为 94 字节00 15 06 15表示发送09 01 13 310009 1a 3c 31 35 39 30 31 35 30 35 34 37 32 3e 3b 69 . 30 手机号，idtype.00 15 30 00 26 74 79 90 . Type 00 27 32 39 31 . 随机数00 14 33 00 结束符三、 具体行为分析：（所有数字均为16进制，即71为0x71）1. 登陆 a) post /mnav/getnetSystemconfig.aspx 获取到各个服务器信息主要44:8000b) 接下来的所有消息都是在上面ip和端口下进行c) 登陆是通过HTTP Digest authentication 进行登陆行为第一个包是移动端向服务器请求认证，（00 15），提供用户的id（id跟在十六进制1a之后，手机号的格式，前后加,飞信号则直接使用号码）,type（飞信所在系统版本，android或iphone）,version（飞信版本号），随机数。服务器接收请求后，会想移动端发出认证响应（00 95），提供用户的id（id跟在十六进制1a之后，手机号的格式，前后加,飞信号则直接使用号码）, Digest algorithm, nonce以及时间。移动端，继续向服务器进行请求（00 15），可能包含用户id ，但是一定包含认证相关信息，Digest， response。同时提交用户相关的信息，如 combinezlib，飞信版本号，手机信息，imsi，imei等信息。 并传递 v4default 等信息，请求获取用户列表等信息。认证通过后，服务器进行相应（00 95）， 包含 SyncUserInfo 。之后，服务器向移动端发送相关用户信息（加密）。服务器返回包2. 主动聊天（发出）a) 通过SIP协议b) 在移动客户端中限制字符个数最多400字（中英文字符均400）同时，发送一条消息不会跨包传输，一条消息，在一个TCP包内完成传输。i. 主动向服务器发出包（00 15） 标识发送消息（06 06） 目的地， 数据类型 text/plain 发送者id ， 目的地 sip:*; p =703 (未分析) SaveHistory + 发送内容如（hello world） 并以00 结束ii. 服务器进行相应 （00 95）， 响应（android是 04 00 c8 iphone是 03 00 c8）目的地 （不一定有）， 发送者id， 响应包 （android是 00 14 34 30 iphone是 00 14 35 ） 包序号（00 13 39） 结束符 06c) 包如图i.d) 群聊天，特征包相同，i. 发送包，只是目的地更改为sip:群号码e) 发送图片i. 00 15 06 06 开始 ，uri 类型 text/html-fragment 发送方id，目的id， SaveHistory ， .f) 发送语音i. 00 15 05 0b 开始， 连续两次发送发送方id ，字符串中带有amr ii. 之后的发送包无明显特征，但是响应包有如下特征：1. 以00 95 03 00 c8 1a 开始， 加入发送方id 并以 00 0b 结束3. 被动聊天（接收）a) 单人聊天i. 服务器发出标识包 （01 78 9c 15 ） 内容加密ii. 移动端发出响应 （00 95） android相应带上 自己的id， iphone相应带上SaveHistoryiii. 包如图b) 群聊天i. 服务器发出标识包 （01 78 9c 13） 内容加密ii. 移动端发出相应（00 95） iii. 包如图4. 自己状态改变（隐身，忙碌） i. 一发一收ii. 移动端发出（00 15） 状态改变命令（android 04 0b ,iphone 05 0b）自己的id ， 状态改变标记 00 c0 c2 c3 80 + 状态（34 30 30 在线， 30 隐身） 以 00 e3 e2 e0 结束iii.iv. 服务器端发出响应（00 95） ( 04 00) 用户id ， 相应状态改变（00 37 c1 c2 c3 80 + 状态） 以 00 e3 e2 e1结束v. 如果是隐身，则还会响应，（04 03）+用户id + 00 c2 c3 80 + PresenceChanged 并以 00 e6