notiMessage/docs/MariBank风控与载荷说明.md

MariBank 风控与注册载荷说明

客户端检测分层、register 请求字段含义、菲律宾突破原因、USB 调试与 Hook 关系。
关联：MariBank_2026-07-06_菲律宾突破.md · MariBank实现说明.md · 手机操作手册.md

---

1. 风控两层模型

层级	谁在做	失败表现	bypass 方式
客户端本地	SafeMode、SHPSSDK、SG ADB 页	弹窗、全屏拦截、自杀	Xposed boolean / Settings / finish Activity
服务端	api.seabank.ph / api.maribank.com.sg	4067012 / 3100012	让出站 attestation「够干净」+ 区域策略

DFP code=0 只表示上报收到，不等于注册会通过。

干净机对照（25078RA3EY）：开 USB 调试 → SG 本地 ADB 页；关调试 → SG OTP 可过。说明本地检测与服务端决策 相互独立。

---

2. 注册请求载荷结构（App 发出）

加密前 JSON（MariBankEncrypt / uvwuvwuv.uvwvuww 入口）典型结构：

{
  "cyCode": "63",
  "phone": "<RSA 加密>",
  "scene": "REGISTRATION",
  "step": "BE",
  "rdVerifyInfo": {
    "bioStatus": 0,
    "data": "<SHPSSDK native attestation 密文>",
    "dataKey": "<attestation 密钥>",
    "deviceFingerprint": "段1|段2|段3|00|0",
    "fvInfo": {},
    "afExtInfo": {
      "modeInCall": "N",
      "modeInCommunication": "N",
      "modeCallScreening": "N"
    },
    "publicKeyAuthen": "pk2",
    "random": "...",
    "softTokenActivated": false
  }
}

流程：App 本地采集 → 拼 JSON → native 加密 → POST /uapi/v2/register

---

3. 字段说明

3.1 deviceFingerprint

pipe 分隔字符串，示例：

jrKyNF/Fx4gcnzVpf1u9bw==|WJMksio9SaKKuyk1KMSilUGivdF+...|TXeh8FyEf/8qHdAS|00|0
  ↑ Base64 段1          ↑ Base64 段2（设备哈希）     ↑ 短码  ↑ 风险码|标志

部分	含义	Hook 能否改
前两段 Base64	设备 / 环境哈希，服务端可索引黑名单	换 serial/android_id 后 重新生成
第三段	短码	随 SDK 变
最后 |xx|y	风险摘要（如 Root+Hook |09|1）	✅ 已净化为 |00|0

只改尾部不够：服务端还验 data/dataKey 解密内容。

3.2 data / dataKey

• 由 libshpssdk_bank.so native 生成并签名
• 内含 Root / Hook / 调试等 attestation，Java 层改 JSON 字段无法重写密文
• SG 3100012 时，多半此层或设备黑名单未过；PH 7/6 成功时服务端 接受了 当前密文

3.3 afExtInfo（银行 App 上报，非 PC 添加）

"afExtInfo": {
  "modeInCall": "N",
  "modeInCommunication": "N",
  "modeCallScreening": "N"
}

字段	推测含义	"N"
modeInCall	是否正在通话	No
modeInCommunication	是否通信/音频占用	No
modeCallScreening	来电筛选等相关状态	No

• 来源：App / SDK 读系统状态写入 rdVerifyInfo
• 去向：随 register 加密后发给服务端
• 当前模块：未专门修改 这三项（原样上报）
• 用途：反欺诈辅助信号，不是 USB 调试开关

3.4 其他常见字段

字段	说明
cyCode	国家码：PH=63，SG=65
step	BE 首次注册 → 成功后可到 BSO（OTP）
action	OTP_SMS_TRIGGER 触发短信验证码
bioStatus	生物识别状态，注册时多为 0

---

4. 为何 USB 调试开着仍能发 OTP（菲律宾实测）

4.1 两个「USB 调试」不是一回事

	PC 侧 adb	App 内部读到的值
你开 USB 调试	✅ 能 adb shell	被 Hook 伪装为关闭

4.2 模块已做的 ADB bypass（MariBankRootBypassHook）

Java Settings：

• adb_enabled / adb_wifi_enabled / development_settings_enabled → 0

系统属性（MariBankShpsNativeHook）：

• init.svc.adbd → stopped
• persist.sys.adb_enable → 0

UI：

• 全屏「ADB / Wireless ADB Detected」页 → Activity.finish()
• 相关 Toast 拦截

因此：PC 连着 adb，App 仍可能认为未开调试，本地不拦、register 载荷也不带「adb 开」的自报字段。

4.3 与干净机对照

环境	USB 调试	结果
干净机（无 Hook）	开	本地 ADB 页，进不了 OTP
干净机	关	✅ OTP
Pixel 6 + LSPosed + Shamiko	开	✅ PH OTP（Hook 伪装）

4.4 注意

• native 仍可能用 Hook 未覆盖的路径读调试状态
• SG 更严，开 adb 风险高于 PH
• 文档仍建议测 SG 时 关 USB 调试

---

5. 菲律宾能发验证码的真实原因

5.1 能确定

• api.seabank.ph 返回 code=0，step 进入 BSO，OTP_SMS_TRIGGER 成功
• 同一台机、同一套 Hook 下 SG 仍 3100012 → 差异在 服务端，非「没风控」

5.2 7/3 失败 → 7/6 成功的变化

能力	7/3	7/6
riskToken 尾部净化	✅	✅
加密前 register 明文 Hook	❌	✅
Attestation / 环境 Hook	弱	✅
Shamiko 藏 Magisk	无/未配	✅
换 serial / android_id	无	✅

不是单一开关，而是 Shamiko + 新设备 ID + 加密前/采集链净化 组合后，PH 服务端认为 attestation 可接受。

5.3 高概率推断

1. PH / SG 两套 API、两套规则 — 同一载荷 PH 过、SG 不过
2. PH 侧设备黑名单 — Pixel 6 在 SG 测多次，PH 可能未标记
3. 7/3 的 4067012 — bypass 不完整，非「PH 永远不能 Root 注册」

5.4 无法无源码 100% 证实

• PH 后台具体哪条规则放行
• data 解密后哪一位从拒变收

---

6. Magisk / LSPosed / Shamiko 分工

Magisk（Root 权限）
  └── Zygisk
        ├── LSPosed → 加载 xposed-module（改 Java 检测、抓加密前 JSON）
        └── Shamiko → 对银行进程隐藏 Magisk/LSPosed
Magisk 模块 maribank_device_spoof → resetprop 换 serial 等

组件	作用
Magisk	Root
LSPosed	运行 Xposed 模块（与经典 Xposed 同 API，见 Hook指南.md §0）
Shamiko	进程内 Hide Root，改善 native attestation
Xposed 模块	SafeMode / ADB / 加密前净化

---

7. 服务端可能校验项（反推）

校验项	说明
rdVerifyInfo.data / dataKey	native attestation 解密
deviceFingerprint 段 1/2	设备黑名单
DFP 历史画像	与 register 是否一致
区域策略	PH 松 / SG 严（实测）
IP / 号码 / 频率	次要，非本次主因

---

最后更新：2026-07-06