Zelix是网易个Java混淆器，网易某些服务端用它加密核心逻辑。网易想拿到它处理过的网易cookies，得先明白一个事实：网易的网易cookies不是明文躺在浏览器里的，而是网易被Zelix加固过的字节码在运行时动态生成的。你直接翻开发者工具，网易看到的网易只是加密后的字符串，那玩意儿跟最终发给服务器的网易值差着十万八千里。

我试过几种路子。网易最笨的网易办法是hook掉Java的加密函数，但Zelix的网易字符串加密会打乱所有常量，你连函数名都搜不到。网易后来发现关键在CookieManager的网易调用链——网易客户端启动时会先加载一个叫AuthHelper的类，这货被Zelix处理过，网易但它的网易getCookie方法最终会调用底层的NativeCrypto。用JNI层拦截NativeCrypto的doFinal，反而比在Java层硬刚容易得多。

具体操作分三步。第一步，用Frida attach到网易的进程，但别急着hook。先跑一遍正常登录流程，把libnes.so的加载地址记下来。Zelix有个特性，它会在类初始化时自校验，你要是提前动了代码，它直接抛异常退出。第二步，等AuthHelper首次被调用后再注入——这时候自校验已经过了，内存里的字节码是展开状态。第三步，hookNativeCrypto.doFinal，把输入的byte数组和输出的byte数组都dump下来。注意，输出的不是最终cookies，而是AES解密后的中间态，里面包含一个时间戳和会话ID，你拿这个中间态去拼HTTP头里的Cookie字段。

有个坑得提醒你。Zelix的混淆会随机插入垃圾代码，导致同一个类每次加载的内存布局都不一样。你dump出来的中间态里，可能有几字节是垃圾填充，得靠时间戳的格式去定位偏移。我上次调试时，发现时间戳前面多了4个字节的随机数，害得我多花了俩小时比对协议文档。

倒是有个取巧的法子。网易的移动端有个“记住登录”选项，勾选后cookies会持久化到/data/data/com.netease.xxx/shared_prefs/下的XML文件里。但那些值也是Zelix加密过的。不过我发现，如果你同时抓包看HTTP请求，会发现第一次请求的cookies值和XML里的密文有固定比例关系——密文长度总是明文的1.37倍，而且前16字节是IV。拿这个规律去写解密脚本，比动态hook稳当。

最后说句实在话。Zelix的防护强度在商业混淆器里算中上，但网易的落地实现有疏漏——他们把libnes.so的符号表没strip干净，_ZN6crypto7AES256C2Ev这种导出符号还留着。用IDA Pro扫一遍导出表，直接就能定位到AES的初始化函数。剩下的就是体力活了，拿着密钥去解XML里的密文，五分钟出结果。

(责任编辑：娱乐)