用模拟器挂机实现亲邻开门无广告自动化操作

0x00 缘起

不知道从什么时候起，我们小区就装上了新的门禁，这个门禁系统是由一家叫亲邻科技的公司提供的，他们的门禁系统实际上就是个活动的广告牌，门禁开关上有广告，门上也有广告，到处都是广告。

其实这些都能忍了，但是忍不了的是他们的 App 开个门都要看广告，是真的烦人，而且这个破 App 又慢又卡，每次启动光是等那个加载界面都要等个十几秒钟，进去之后有时候登录失效了还要重新登录，登录完了加载数据又要十几秒钟，有这功夫我都能喊保安给我开个门了。

我也问过物业能不能搞个 NFC 之类的，得到的回复是暂时不支持，因为开通 NFC 是要收钱的，所以只能用 App 和人脸解锁，但我肯定不会把人脸数据卖给这些广告公司，那就只剩下 App 这条路能研究了。他们的 App 也有个什么免广告版，收费的，虽然一年就十几块钱，但我怎么可能会为这个玩意付钱？想都别想！

0x01 尝试破解

于是我就想着找个办法给它破解了。一开始我想的是通过抓包来破解，但是后来发现暂时行不通了，之前已经有其他大佬尝试破解过了，而他们现在为了防破解，加入了 nonce 、sign 这两个参数对请求进行校验，同时还通过 SSL Pining 来阻止抓包，提升了破解难度。

虽然可以通过使用 Frida 和 blutter 等软件，再 Hook 掉 App 的签名接口来破解，但是这终归不是个稳定的办法，因为只要他们一修改签名方式，Hook 就没用了，又要重新逆向，非常麻烦。于是我想到了一个简单粗暴的办法，那就是：模拟点击。

0x02 另辟蹊径

简单粗暴，就是单纯通过模拟屏幕点击。配合软件在后台挂机实现自动开门。但是这个软件每次开门之后都会弹个广告出来，而且关闭广告必须要点那个小到不能再小的 X 按钮，并且这个按钮每次出现的位置都不同，有时候在左上角，有时候在右上角，如果要通过识图来获取按钮位置的话就太麻烦了，干脆每次开完门就重启一次 App ，这样就没有广告了。

private void CloseAd() {
    Thread thread = new Thread(() =>
    {
        Thread.Sleep(closeWait);
        stopAppCmd("com.qinlin.edoor");
        Thread.Sleep(300);
        startAppCmd("com.qinlin.edoor/.MainActivity");
        if (autoLockScreen) {
            Thread.Sleep(1000);
            powerBtn();
        }
    });
    thread.Start();
}

然后让程序监听在 HTTP 端口上，当收到请求的时候就发送 Adb 请求模拟屏幕点击，实现远程自动开门，配合 HTTP Shortcuts 这个非常好用的软件，就可以在手机主屏幕上一键开门了，再也不需要每次开门等个几十秒了。

最后附上项目地址： https://github.com/kasuganosoras/QLCloseDoor/

各位如有需要可以自取~

PS：理论上这个玩意也可以用于其他门禁系统，只需要 clone 下来修改一下软件包名就差不多了。

cuberwr1

339 天前

确实非常恶心，要人脸外加各种信息，还自带摄像头，这种没经过允许的拍摄应该也是侵犯了肖像权的，我家楼下之前那个开门的 app 里面直接放着密钥，给一个阿里云的服务器发请求，之后开门，之后估计是那个广告公司跑路了，门禁那个设备欠费了，门禁那个安卓机器我也拿了权限，直接给继电器一直上电把它烧了，之后就一直没门禁，最近几天又来个了新的，给继电器修了外加更大更亮的广告牌，还写着招商，声光兼具什么的，至少现在还没人投广告，没声音，要是有声音铁定拆掉，现在就想着直接自己接个设备到继电器来遥控，买了两个 2.4g 的模块，然后发现只是通讯里面没带 mcu ，我想从楼上控制貌似有点太远了，收不到信号，还要外加 mcu ，于是看到了频率更低功率更大的 315mhz 的模块，还自带开关量控制，刚用淘宝红包买了一对，指甲盖那么大，还看了半天早还给老师的射频的东西，自己剪线绕天线，不知道能不能接收到，发射的模块到了，接受的明天到，打算直接用鱼钩从那广告机电源取电，不知道电压是不是合适，有时候软件折腾很久的东西，直接考虑硬件解决更直接，感觉还能免去一些法律风险