Как раскодировать файл в неизвестном формате?

Question

[Vincent1]

Я снифал гугл приложение на телефоне через HttpCanary. Впринципе все получилось, видно куда что отправляется, но за исключением некоторых файлов.
Например request_body.bin выглядит как на скрине:

Пробовал сделать gzdecode/gzinflate/gzuncompress используя PHP, но положительного результата не получил. Как его расшифровать?

Comments

[NeffiseX]

Етот файл на асемблере либо на машином коде!

[Vincent1]

Не думаю что гуглоиды так морочились. Это приложение com.google.android.syncadapters.contacts

Answer 1

[ne0dim]

Это архив .lha . Если распаковать, то можно увидеть вот такое содержимое:

þõæÑ
Xandroid/Lenovo/A2010-a/A2010-a:5.1/LMY47D/A2010-a-t_S255_151022.151022:user/release-keysçPZLenovo A2010-a`

Comments

[Vincent1]

Спасибо. Как видно распакованный файл читается в текстовом редакторе не очень корректно. Возможно вы знаете как правильно работать с распакованным файлом?

[ne0dim]

Тут редактор кода съел немного содержимое, там после :user/release-keys идет какой-то ключ, а затем путь
%com.google.android.gms+new-device-tag%com.google.android.gms+new-device-tag. Так как не специалист в android, вряд ли смогу что-то еще подсказать, а сам распакованый файл можно скачать по ссылке.

Answer 2

[Hemul GM]

Если запрос был через HTTPS, то сразу забей

Comments

[Vincent1]

Запрос был через HTTPS, но HttpCanary устанавливает свой сертификат и вроде как это позволяет читать содержимое.

[Hemul GM]

Vincent1, ну раз накладывает сертификат, то используй его, чтоб расшифровать

Answer 3

[lik173]

Попробуйте через UltraISO, 7zip

Answer 4

[Василий Банников]

1. Убедитесь, что оно не зашифровано
2. Если зашифровано, то перехватить трафик заново через Fiddler/ Charles/ mitmproxy
После второго шага у вас будет расшифрованное и разжатое сообщение - тогда может сразу увидите, если это json или другой текстовый формат.

Если оно не зашифровано, то можете посмотреть в заголовке Content-type, что там за формат.

UPD: вам может помочь это:
https://habr.com/ru/post/321790/
https://github.com/mildsunrise/protobuf-inspector

Comments

[Vincent1]

"content-type": "application/grpc",
Не понятно как его теперь конвертировать в текст

[Василий Банников]

Vincent1, это значит, что у вас сообщения закодированы в protobuf - попробуйте поискать инструменты для реверс-инжтниринга

[Василий Банников]

Vincent1, обновил ответ

[Vincent1]

Спасибо за помощь, но похоже это не то что надо.