闲鱼Cookie存储位置及获取方式？

Question

在移动端闲鱼App中，Cookie通常由WebView或系统级网络库自动管理，开发者难以直接获取。常见问题是：如何在Android或iOS应用中准确捕获并提取闲鱼登录态相关的Cookie？尤其是在使用Xposed、Frida等Hook框架时，由于闲鱼采用混淆加固和反调试机制，导致无法正常拦截OkHttpClient或WebView的请求头，进而影响Cookie的获取。此外，获取后的Cookie如何持久化存储并防止被清除也是技术难点。许多开发者在自动化运营、账号状态维护场景下面临此类挑战。

Answer 1

一、移动端闲鱼App中Cookie管理机制解析

在移动应用开发与逆向工程实践中，闲鱼App作为阿里巴巴旗下的重要二手交易平台，其安全策略极为严密。尤其是在用户登录态维持方面，系统通过WebView与原生网络库（如OkHttpClient）协同管理HTTP Cookie，自动完成会话保持。

通常情况下，Android平台使用CookieManager统一管理所有Web请求中的Cookie，而iOS则依赖于HTTPCookieStorage单例对象。然而，这类自动化机制对开发者透明，导致第三方无法直接访问底层存储的Cookie数据。

以下为常见技术挑战：

• Cookie由系统级组件自动处理，难以通过常规方式读取；
• 闲鱼采用ProGuard + DexGuard多重混淆加固，类名与方法名高度匿名化；
• 集成多种反调试手段（如ptrace检测、frida-server特征扫描）；
• 动态加载关键网络模块（DexClassLoader或SO层代理），增加Hook难度；
• OkHttpClient可能被定制封装，标准Frida脚本失效；
• WebView中JS与Native通信加密，无法通过注入JavaScript获取document.cookie；
• Cookie有效期短，需配合Token刷新机制持续维护状态；
• 应用冷启动时清除临时Cookie，影响持久化存储可靠性；
• 多进程架构下Cookie同步困难；
• 自动化运营场景中频繁触发风控策略，导致账号异常。

二、分析流程与关键技术路径

为了实现对闲鱼登录态Cookie的有效捕获，必须结合静态分析与动态Hook技术，构建完整的链路追踪体系。

1. 使用Jadx-GUI或GDA进行APK反编译，定位网络请求发起点；
2. 搜索关键词：“okhttp”, “setCookie”, “CookieJar”, “WebViewClient”等；
3. 识别自定义OkHttpClient实例初始化代码段；
4. 分析是否使用拦截器（Interceptor）预处理请求头；
5. 查找CookieStore实现类，判断是否重写saveFromResponse/saveAll；
6. 确认WebView配置中是否启用domStorageEnabled和databaseEnabled；
7. 利用Frida尝试Hook CookieManager.setCookie()方法；
8. 若失败，则转向底层OkHttpClient.newCall()进行调用栈回溯；
9. 结合Xposed模块监听Application onCreate阶段，尽早注入Hook逻辑；
10. 设计内存Dump策略，在特定时机导出WebView数据库及SharedPreferences中的凭证。

三、基于Frida的深度Hook方案示例

由于闲鱼存在Anti-Frida机制，建议使用去特征化Frida版本（如frida-mempc），并通过延迟注入绕过检测。

Java.perform(function () {
    var CookieManager = Java.use('android.webkit.CookieManager');
    CookieManager.setCookie.overload('java.lang.String', 'java.lang.String').implementation = function (url, value) {
        console.log('[*] Detected Cookie Set:');
        console.log('URL:', url);
        console.log('Raw Cookie:', value);
        // 可在此处添加正则提取SESSIONID、_tb_token_等关键字段
        this.setCookie(url, value);
    };

    var OkHttpClient = Java.use('okhttp3.OkHttpClient');
    OkHttpClient.newCall.implementation = function (request) {
        var headers = request.headers();
        console.log("[*] Outgoing Request:", request.url().toString());
        console.log("[Headers]:", headers.toString());
        return this.newCall(request);
    };
});
    

四、反检测与稳定性优化策略

问题类型	表现形式	解决方案
进程名检测	检测到"re.frida.server"	重命名frida-server为sys_daemon
端口监听检测	扫描5555/27042端口	改用USB转发+随机端口
Dex文件加载检测	校验Frida辅助Dex指纹	内存加载去特征化Agent
函数调用堆栈检测	发现hook相关native函数	Inline Hook替换PLT/GOT表
调试器附加检测	ptrace自缚检测返回非0	LD_PRELOAD注入绕过

五、Cookie持久化与防清除机制设计

获取到有效Cookie后，需解决长期存储问题。考虑到Android 10+对外部存储的限制以及应用沙盒隔离特性，推荐如下方案：

• 将Cookie加密后存入内部私有目录（Context.getFilesDir()）；
• 使用AES-256-GCM算法保护敏感信息，密钥由设备指纹派生；
• 注册ContentObserver监听SharedPreferences变化，防止被篡改；
• 结合JobScheduler定期唤醒服务，检查Cookie有效性并更新；
• 在外部备份场景中，可通过AccessibilityService模拟点击“设置-存储-清除数据”防护；
• 采用双Token机制：本地保留refresh_token用于自动续签；
• 建立心跳上报机制，集中管理多个账号的状态生命周期；
• 利用Magisk模块挂载只读分区，隐藏关键配置文件路径；
• 使用SELinux规则限制其他应用访问宿主目录；
• 设计Fallback机制：当主Cookie失效时，触发扫码登录补全流程。

六、完整技术链路流程图

graph TD
            A[APK反编译 & 静态分析] --> B{是否存在加壳?}
            B -- 是 --> C[脱壳工具dump odex/dex]
            B -- 否 --> D[定位OkHttpClient初始化]
            C --> D
            D --> E[Hook CookieManager.setCookie]
            E --> F{成功捕获?}
            F -- 否 --> G[尝试Hook OkHttp Interceptor]
            G --> H[监控request.header("Cookie")]
            H --> I[提取Set-Cookie响应头]
            I --> J[解析关键字段: _m_h5_tk, sid, uid]
            J --> K[加密存储至私有文件]
            K --> L[启动守护服务监听过期时间]
            L --> M[到期前调用内部API刷新]
            M --> N[生成新Cookie写回内存]
            N --> O[支持自动化任务调度]
            O --> P((完成闭环))