这个鸡腿是你能惦记的

再现鸡腿挂破解版

有一个游戏玩家微信上联系我说

在XX群买了一个和平精英大鸡腿挂破解版外挂样本

但是测试后并没有所谓的开挂功能，让我给分析下。

好家伙，鸡腿挂前阵子不是刚被腾讯端了。全球最大游戏外挂，黑产规模上亿元。

闲来无事，我来分析看看。

魔高一尺道高一丈

这个鸡腿挂很厉害，分析起来很简单。

运行app，这货功能也太简单。

就凭这功能，分分钟钟被玩家举报。

主要就是开启辅助和关闭辅助。

点击开启辅助会提示注入成功(实际上就是个弹框，没有功能)。

点击关闭辅助就是把自己app强制退出而已。

分析基本结构

1、查下app是否有加壳，结果是没有加壳

（查壳原理：比对app中是否有对应加固后新增的so文件）。

2、用apktool工具进行解包

解包格式为：java  -jar  apktool的名字  d(反编译)  要解包的apk  -o(输出)  文件名

解包后输出结果如下：只有java代码和资源文件。

通过在模拟器（夜神模拟器）环境下运行app，

再通过adb命令进行查看app所加载的模块进行确认，确认该外挂确实就是只有java代码。

3、该app是通过易安卓(E4A)进行开发的。

易安卓是是中文编程的开发语言，也是易语言的移动端应用。

以下是易安卓的开发编译器的一面，纯中文式的编程开发。

正因为入门简单也成为了黑灰产的主要开发语言。

分析搞笑功能

1、该app对类名和函数名进行混淆。

混淆结果就是将类名和函数名设置无意义的名称。

但是你这个在类名及函数名又进行功能注释。

你这个确定不是来搞笑的吗？

2、我们看看搞笑的版本更新下载功能。

更新流程是直接通过访问外挂网址，进行校验是否需要进行外挂版本更新

外挂网址用于判断是否需要更新以及外挂接入的吉吉发卡平台对应的信息截图。

app安装在安卓环境下是/data/data/目录下的对应包名文件，

可这个外挂样本，走不寻常路。

要将更新的新包放在/date/date/目录下，你确定不是来搞笑的吗？

你这目录下能更新成功吗？

答案是更新不成功。

分析关键功能

1、进行root功能检测

通过执行su命令，从而进行判断当前环境是否已经root了。

2、开启辅助功能

首先判断当前环境是否root了，接着判断激活状态

接着进行注入代码到游戏中（就是修改游戏的内存数据），不过该功能经验证已经失效了，（因为游戏地址更新了，注入的数据地址没有同步更新）。

3、收集获取当前环境的ip地址

通过html方式读取查询ip的链接，并获取ip地址的具体信息。

总结

从技术上来说，该手游鸡腿挂破解版的实现技术、功能都非常简单。

以上只是针对鸡腿破解版外挂进行一次非常简单的分析，

因为该破解版外挂功能确实比较简单，所以分析起来也是比较简单的，只需要一个jadx工具就可以进行整个功能的分析。

最后的最后，玩游戏还是正常的玩耍比较好。不然弄个破解版的外挂，你知道风险有哪些吗？

被卖破解外挂的卖家黑吃黑了，破解外挂的样本往往会出现后门功能，还有游戏中用外挂会导致游戏的封号。

End