1、手机飞信行为简单分析谌侃 20120827一、 实验环境1. Android 4.0.32. Fetion for Android V 4.0.03. Wireshark二、 基本理论：1. 飞信初始化先向服务器 221.176.31.140 的 http 服务器进行 post，获取系统设置信息。系统将返回各自服务的服务器地址及端口。2. 飞信的数据包都为 TCP 包，使用 8000 端口，所有数据在一条连接上。3. 因为是 TCP 包，因此会产生 ACK 包，即每次发送接收都为 2 个包，同时丢弃包的策略不在可行，或许可以尝试修改包的欺骗方式。4. 手机飞信的每个包出事两个字节，都是表示数据
2、包字节数。5. 数据结构以分隔符开始，分隔符结束，通常以 00 开始，00 结束，分隔符包括00,01,14,13,1a,19前两个字节表示包长度。 分隔符 1A 后面跟随 用户 id 如 飞信 id 或手机号分隔符 00 15 表示 发送 00 95 表示响应 + 目的地分隔符 09 后面跟随相应的参数 如 09 1F Digest * 09 1A + 用户 id分隔符 00 13 表示包序号？待定其余待定如00000000 00 5e 00 15 06 09 01 13 31 00 09 1a 3c 31 35 39 . 1.;id-typ00000020 65 3d 6d 6f 62 6
3、9 6c 65 00 15 30 00 26 74 79 70 e=mobile 0. p =703 (未分析) SaveHistory + 发送内容如（hello world） 并以 00 结束ii. 服务器进行相应 （00 95） ， 响应（android 是 04 00 c8 iphone 是 03 00 c8）目的地 （不一定有） ， 发送者 id， 响应包 （android 是 00 14 34 30 iphone 是 00 14 35 ） 包序号（00 13 39） 结束符 06c) 包如图i.d) 群聊天，特征包相同，i. 发送包， 只是目的地更改为 sip:群号码e) 发送图
4、片i. 00 15 06 06 开始 ，uri 类型 text/html-fragment 发送方 id，目的 id， SaveHistory ， .f) 发送语音i. 00 15 05 0b 开始， 连续两次发送发送方 id ，字符串中带有 amr ii. 之后的发送包无明显特征，但是响应包有如下特征：1. 以 00 95 03 00 c8 1a 开始， 加入发送方 id 并以 00 0b 结束3. 被动聊天（接收）a) 单人聊天i. 服务器发出标识包 （01 78 9c 15 ） 内容加密ii. 移动端发出响应 （00 95） android 相应带上 自己的 id， iphone 相应
5、带上SaveHistoryiii. 包如图b) 群聊天i. 服务器发出标识包 （01 78 9c 13） 内容加密ii. 移动端发出相应（00 95） iii. 包如图4. 自己状态改变（隐身，忙碌） i. 一发一收ii. 移动端发出（00 15） 状态改变命令（android 04 0b ,iphone 05 0b）自己的 id ， 状态改变标记 00 c0 c2 c3 80 + 状态（34 30 30 在线， 30 隐身） 以 00 e3 e2 e0 结束iii.iv. 服务器端发出响应（00 95） ( 04 00) 用户 id ， 相应状态改变（00 37 c1 c2 c3 80 + 状态） 以 00 e3 e2 e1 结束v. 如果是隐身，则还会响应， （04 03）+用户 id + 00 c2 c3 80 + PresenceChanged 并以 00 e6 e5 e4 e3 e2 结束vi. 包如图所示5. 用户下线 一发一收i. 移动端发出（ 00 15）下线指令 （04 09 01 19）ii. 包的第 2 至第 8 字节是 00 15 04 09 01 146. 心跳 一发一收i. 包的第 3 至第 8 字节是： 00 15 04 09 01 14
