android - 如何从 Android 模拟器对 Kik 的服务器 API 进行逆向工程？

Question

我在kik messenger有群聊已达到 50 多个成员。我需要自动化一些事情，例如基于参与度的声望点数，以及踢掉 XXX 天未发布任何内容的不活跃成员。我看过 API reference似乎机器人可以在群组中进行交互的唯一方式是使用@mentions。这意味着我们无法将他们添加到群组中，他们也无法监控群组对话。我也遇到过 this但它似乎没有帮助。

当前的 kik bot API 提供的权限非常有限，并且不允许监控群组消息，所以我一直在考虑 reverse engineering the server API并创建一个充当机器人并与此 API 交互的普通帐户。我已经设法通过 fiddler 重新路由流量，但我不确定从那里去哪里。

所以问题是:对在 Android 模拟器上运行的应用程序的 API 进行逆向工程的工作流程是什么

提前致谢

Answer 1

这是检查网络流量以及如何调试与 API 交互的一般说明。仅将它们用于您被允许使用的设备/API。了解可能的法律影响并事先寻求法律建议。例如，在您所在的国家/地区对某些东西进行逆向工程可能是非法的。

准备工作:

1. 使用 Fiddler 等工具在计算机上设置代理, mitmproxy .
2. 配置您的代理以拦截和解密 SSL 连接。在此过程中，您必须生成一个 SSL 根证书(instructions for Fiddler 和 instructions for mitmproxy)并将其安装在您的手机/模拟器上，以便它们接受代理生成的任何证书。
3. 在手机的网络设置中配置代理。

如果应用程序/设备不支持代理，请在您的计算机上启动一个临时 WiFi 网络，将设备连接到它并使用 Wireshark ( instructions how to decrypt SSL ) 捕获整个流量。

看来您已经这样做了。现在是时候执行任何您想在手机上检查/拦截并观察/记录它们触发的请求的操作了。这可能看起来像这样:

1. 发送消息。
2. 识别触发的请求并将它们与其他应用程序引起的噪音分开，例如通过查看请求 URL 或目标 IP。
3. 保存触发的请求以供将来引用，并查看可能感兴趣的详细信息，例如用户 ID、 session token 、网址和请求参数。如果您不确定什么是固定的，什么是可变的，请多次重复该操作(即发送消息)并将请求相互比较。

如果您认为您找到了您要查找的内容，请尝试使用类似 curl 的工具重新创建 session 并检查结果是否符合您的预期。如果不是，请继续收集数据并重试。编写一些自动化测试以便将来能够验证行为。