安卓直播间websocket协议破解还原

抓安卓直播间弹幕和送礼协议，安卓说难听点就是直播跟App开发者的加密较劲。别指望Wireshark一把梭，协议现在没人用明文WebSocket了。破解

我上个月逆向一个秀场App，还原抓包一看，安卓连接倒是直播标准ws://，可第一条握手包就带了个十六进制尾巴。协议服务端返回的破解也不是标准JSON，是还原一串Base64里嵌着二进制块。你要是安卓拿普通WebSocket客户端去连，三秒内被踢下线。直播

第一步，协议得先定位到WebSocket的破解入口代码。别急着反编译整个APK，还原先扔进jadx里搜关键词。搜"socket"太泛，搜"ws://"或者"wss://"更靠谱。找到那个带URL的类，往下翻几十行，大概率能看到onOpen、onMessage回调。关键就在onMessage里——数据进来第一件事不是解析，而是过一遍解密函数。

那个App的解密函数藏在native层，用Frida hook一下Java层的ByteBuffer参数，直接dump出密文。但光有密文没用，你得找到密钥。密钥通常不在Java代码里，而是从服务器握手时的响应头里动态生成。我那次抓到的逻辑是：客户端先发一个随机数，服务端返回一个HMAC签名，两个值拼一起做SHA-256，取前16字节当AES的key。

这种动态密钥最烦人，每次会话都不一样。但你不用真的去逆向so文件里的算法，用Frida主动调用它的native函数就行。把so文件拖进IDA看导出表，找到类似"decryptData"的符号，然后写个脚本hook它，直接调用并传入你抓到的密文。返回值就是明文，格式通常是protobuf或者压缩过的JSON。

有个坑得提醒你——很多直播间的弹幕消息是分帧的。不是一条消息对应一个WebSocket frame，而是服务端把多条消息塞进一个frame里，用自定义分隔符切开。你如果直接按frame解析，会看到一堆乱码。正确做法是先把frame里的二进制流按长度前缀拆包，再逐条解密。那个App用的分隔符是0x1F，我调了半天才试出来。

最后一步，把解密后的数据结构摸清楚。弹幕消息里通常有个type字段，数字1代表弹幕，2代表礼物，3代表系统通知。别去猜，直接发一条测试弹幕，对比解密前后的字段变化。我当时发现礼物消息里有个隐藏的level字段，客户端没显示，但协议里有——这种信息拿去写自动刷礼物脚本，能精准判断大款用户。

整个过程大概需要两天时间，前提是你熟悉Frida和IDA的基本操作。别指望有什么一键破解工具，每个App的混淆方式都不一样。但破解过一次之后，你会发现直播间的核心协议就那么几种套路——要么AES-GCM，要么RC4加异或，要么干脆用WebSocket子协议自定义加密。摸清一个，其他都是换汤不换药。