Reverse engineer native, manag…

# Electron app.asar 广告SDK排查指南

一、先明确工具分工

• app.asar 是JS资源包，IDA/x64dbg主要分析不了JS，先用asar工具解包
• IDA/x64dbg 用于分析其中的原生扩展（.node/.dll/.exe），如广告SDK通常以原生库形式存在

二、解包分析 app.asar

1. 安装工具：npm install -g @electron/asar

2. 解包：asar extract app.asar ./output

3. 重点关注：

• package.json 的 dependencies 和 main 入口
• node_modules 中可疑包名（含 ad、track、analytics、push、stat、sdk 等关键字）
• 全局搜索敏感字符串：http://、https://、上报、collect、beacon、umeng、gdt、穿山甲、adview 等

三、JS层静态分析

• 检查打包后是否被混淆（建议用 WebStorm/VSCode + 美化工具还原）
• 追踪网络请求：搜索 fetch、XMLHttpRequest、net.request、axios 的调用点
• 查看上报内容：定位序列化数据的字段（设备ID、剪贴板、通讯录、位置等属高危信号）

四、原生模块分析（IDA/x64dbg）

1. 找 .node 文件（本质是DLL），用IDA加载：

• 看导入表：WS2_32.dll（网络）、RegQueryValueEx（注册表）、GetAdaptersInfo（MAC地址）、GetVolumeInformation（硬盘序列号）
• 字符串窗口搜URL、域名、User-Agent

2. x64dbg 动态验证：

• 在 connect、send、WSASend、InternetOpenUrl 下断点
• 挂代理（Burp/Fiddler）抓HTTPS流量更直接，配合运行观察上报行为和频率

五、验证与结论

• 用 Wireshark/mitmproxy 抓包比对静态发现的域名，确认是否实际外发
• 检查上报数据是否包含用户聊天内容（重点！）
• 对照其隐私政策声明，若上报内容超出声明范围即可判定违规

提示：分析需在隔离虚拟机中进行，避免本机数据泄露。