# TNG eWallet 滑动验证码（阿里云 Captcha）逆向笔记（2026-08-03）

## 现象

注册/登录手机号页点「继续」→ 弹阿里云滑动拼图验证 → 滑块拖对通过 →
**不返回**（TTCaptcha 未回调 TNG 业务层）→ 手动点「继续」→ 再次弹验证 → 循环。

## 回调链（1.9.10 dex 逆向）

```
用户滑动成功
→ JS postMessage → CaptchaWebViewDialog$2.a  (action=sendAliyunCaptchaVerifyData, data 含 success/message)
→ Captcha.generateResult(char, zzbfs)  → JSON {code, retCode, message, certifyId}
→ setVerifyResult(true) → Captcha$1(Handler) → VerificationCallback.onSuccess(result)
→ TTCaptcha 反射 Proxy → TTCaptchaCallback.callBack(result)
→ parseJson → TTCaptchaResponse{code, certifyId}
    code==0 且 certifyId 非空 ?
        → notifySuccess(certifyId) → TTInListener.success → TNG 业务层提交 RPC
        → notifyFailure(code) / handleFailure("Result is null"|"Invalid code or certifyId")
→ 服务端二次校验 certifyId 失败
    → quake 抛 CaptchaNeededException("Captcha needed")
    / CaptchaNotPassedException("Captcha not passed")
    → 验证拦截器再弹滑块 → 循环
```

## 关键类（dex 定位）

| 类 | 作用 |
|----|------|
| `com.aliyun.captcha.Captcha`（classes10） | 单例，verify/generateResult/showDialog |
| `com.aliyun.captcha.CaptchaWebViewDialog` + `$2` | 滑块 WebView + JS postMessage 桥 |
| `com.aliyun.TigerTally.captcha.api.TTCaptcha` | TigerTally 封装，**反射**调 aliyun Captcha |
| `com.aliyun.TigerTally.captcha.core.TTCaptchaCallback` | 解析 result，code==0 且 certifyId 非空才 success |
| `my.com.tngdigital.captcha.TigerTallyApiWrapper` | TNG 业务侧封装（Kotlin 协程 showCaptcha） |
| `...aliservice.quake.CaptchaNeededException` / `CaptchaNotPassedException` | 服务端要验证 / 验证未通过 |
| `...amcs.CaptchaConfigCenter` / `CaptchaInitializer` | 远程下发 wafCaptchaKey / captcha_switch |
| `...opmpaasexpress.interceptor.OpMpVerifyInterceptor` 等 | RPC 验证拦截器，触发滑块 |

## 判定点（本次 hook 已打点）

1. `Captcha.generateResult` 返回的 JSON —— **certifyId 是否为空**（滑块是否真正拿到服务端签发）
2. `CaptchaWebViewDialog$2.a` —— JS postMessage 的 data 内容
3. `TTCaptchaCallback.callBack/notifySuccess/notifyFailure` —— TNG 是否拿到 certifyId
4. `CaptchaNeeded/NotPassedException` 构造 message —— 服务端二次校验失败原因
5. `TTCaptcha.verifyByReflect/buildParams` —— captcha 参数（region/appKey 等）

## 根因候选

- **TigerTally 设备指纹（umidToken）异常**：`hookTigerTally` 短路了
  `TigerTallyAPI.init/initCommon` 与 `t.B.genericNt1`（防 ANR fork 卡死）。
  若 captcha 服务端用 umidToken 校验设备，缺失/变化会导致 certifyId 校验失败。
- **captcha 全量方法打点拖慢 JS 桥回调**（已修复：改为精准打点）。
- **region 错误**：`TTCaptcha.buildParams` 用 `t.B.genericNt14()` 取 region。

## 抓 logcat 判定

```powershell
powershell -File scripts/logcat-tng.ps1
```

复现滑块 → 观察：
- `captcha JS postMessage` 后是否有 `captcha RET generateResult`（含 certifyId）
- `captchaCb CALL notifySuccess` 是否出现（成功）还是 `notifyFailure`
- `captcha EXC ...CaptchaNotPassedException` 的 msg