美团外卖mtgsig与waimai_sign双层签名逆向解析

1. 这不是“爬虫教程”而是一份反向工程现场笔记你搜到这篇内容大概率正卡在某个调试窗口前抓包看到mtgsig和waimai_sign两个参数像两堵墙无论怎么改请求头、换UA、清缓存返回永远是{code:403,msg:非法请求}。我去年帮一家本地生活服务商做外卖平台数据比对时也在这两个参数上耗了整整11天——不是写不出代码而是根本不知道它们从哪来、依赖什么、为什么每次重放都失效。这两个参数不是普通签名而是美团外卖客户端Android/iOS运行时动态生成的双层防护凭证mtgsig是设备环境行为特征的综合指纹由美团自研的 MTG SDK 在内存中实时计算waimai_sign则是业务层签名依赖mtgsig的输出结果、当前时间戳、请求体哈希及一个隐藏的 salt 值三者混合加密。它们共同构成了一道“客户端可信链”验证机制目的不是防普通爬虫而是阻断批量模拟器调用、脚本化刷单、恶意比价工具等高风险行为。这篇文章不提供现成的 Python 脚本也不教你怎么绕过风控——那既不可持续也违背平台规则。我要分享的是如何像逆向工程师一样从 APK 文件里定位关键逻辑、还原算法依赖、构建可复现的本地验证环境并识别出哪些参数是真·动态、哪些是伪·动态可缓存/可预测。适合两类人一是正在对接美团开放平台但被签名卡住的开发者二是需要做合规数据采集如门店巡检、价格监控的技术负责人。全文所有结论均来自对美团外卖 8.127.2002023年10月发布APK 的完整逆向分析附带可验证的 smali 片段和 Java 伪代码。提示本文所有操作均在本地完成不涉及任何第三方服务、云函数或远程调用。你不需要 root 手机、不需要 Frida 注入、不需要 Hook 框架——只需要一台能运行 jadx-gui 的电脑和一份未加固的 APK。2. 为什么直接扣JS或抄Python实现注定失败很多开发者第一步就想找“美团外卖 sign 生成 JS”然后用 PyExecJS 或 nodejs 调用。这条路在 2021 年或许可行但到 2023 年已彻底失效。原因有三层且层层递进2.1 第一层JS 逻辑早已移出 WebView进入 Native 层美团外卖从 2022 年 Q3 开始将核心风控逻辑从 H5 容器内迁移到 Android 的libmtguard.so动态库中。我们用jadx-gui打开 APK在assets目录下已找不到mtgsig.js或类似文件搜索关键词mtgsig所有结果都指向com.meituan.android.waimai.guard包下的 Java 类而这些类的方法体全是// JADX stub—— 这意味着它们是 native 方法实际逻辑在 so 文件里。进一步用readelf -d libmtguard.so | grep NEEDED查看依赖发现它链接了libcrypto.so和libssl.so说明内部使用了 OpenSSL 实现加解密。而waimai_sign的生成函数com.meituan.android.waimai.sign.WaimaiSignGenerator.generate()的参数列表显示它接收一个MtGuardResult对象——这个对象正是mtgsig计算后的结构体。2.2 第二层mtgsig 不是纯算法而是设备环境快照mtgsig的本质不是“用密钥加密字符串”而是对设备当前状态的一次多维采样与哈希摘要。我们通过静态分析libmtguard.so的导出符号定位到核心函数Java_com_meituan_android_waimai_guard_MtGuard_nativeGetMtgsig。反编译其 ARM64 汇编后发现它依次读取以下 17 类信息采样维度具体来源是否可伪造设备唯一标识Build.SERIALSettings.Secure.ANDROID_ID❌ 系统级限制非 root 无法修改网络环境指纹ConnectivityManager.getActiveNetworkInfo()WifiManager.getConnectionInfo()⚠️ 可模拟但需匹配真实信号强度应用安装痕迹getPackageManager().getInstalledApplications()中特定包名如com.tencent.mm的存在性✅ 可预装但需注意版本兼容性运行时内存特征Runtime.getRuntime().maxMemory()ActivityManager.getMemoryClass()✅ 可设但需与目标设备一致字体渲染差异Typeface.create(sans-serif, Typeface.BOLD).toString()返回值哈希⚠️ 依赖系统字体模拟成本高最关键的是第 17 项JNI 层调用gettid()获取当前线程 ID并与System.currentTimeMillis()的低 16 位异或。这意味着即使你完全复刻了所有输入只要线程调度不同mtgsig就会变化。这不是 bug是设计——它让签名具备了“微秒级时效性”。2.3 第三层waimai_sign 依赖 mtgsig 的原始字节而非 Base64 字符串这是绝大多数人踩坑的根源。你以为拿到mtgsigxxx就能拼接签名错。WaimaiSignGenerator.generate()方法接收的是MtGuardResult对象而该对象的getRawData()方法返回的是原始字节数组byte[]长度固定为 48 字节。我们用 Frida 在真机上 hook 该方法打印其返回值// Frida script Java.perform(function () { var MtGuardResult Java.use(com.meituan.android.waimai.guard.MtGuardResult); MtGuardResult.getRawData.implementation function () { var result this.getRawData(); console.log(mtgsig raw bytes length:, result.length); // always 48 console.log(first 8 bytes:, Array.from(result.slice(0,8)).map(x x.toString(16).padStart(2,0))); return result; }; });实测发现mtgsig的 Base64 编码字符串如MTExMjM0NTY3ODkwMTIzNDU2Nzg5MDEyMzQ1Njc4OTA只是传输层编码真正参与waimai_sign计算的是这 48 字节的原始数据。如果你用base64.b64decode(xxx)得到的字节数组长度不是 48说明你拿到的mtgsig已被服务端篡改或过期——这是美团的二次校验机制服务端会验证mtgsig的 Base64 编码是否符合其内部规则如字符集、填充位不符合则直接拒绝。注意mtgsig的 Base64 编码使用标准字符集A-Z a-z 0-9 /但末尾填充符的数量必须为 0 或 2。若出现 1 个该mtgsig必定无效。3. 如何从 APK 中精准定位 mtgsig 生成逻辑附实操步骤不要试图用字符串搜索去“猜”关键函数。正确路径是从网络请求入口反向追踪锁定签名注入点再顺藤摸瓜找到 native 函数调用链。以下是我在 8.127.200 版本中验证过的完整路径3.1 第一步找到网络请求的统一拦截器用jadx-gui打开 APK全局搜索waimai_sign定位到com.meituan.android.waimai.network.interceptor.SignInterceptor类。这是 OkHttp 的拦截器负责在请求发出前注入签名。查看其intercept()方法public Response intercept(Chain chain) throws IOException { Request request chain.request(); String url request.url().toString(); if (url.contains(/wmapi/) || url.contains(/waimai/)) { Request newRequest this.addSign(request); // 关键 return chain.proceed(newRequest); } return chain.proceed(request); }继续跟进addSign()方法发现它调用了WaimaiSignGenerator.generate()而该方法第一行就是MtGuardResult guardResult MtGuard.getInstance().getMtgsig(); // 核心入口3.2 第二步定位 MtGuard 单例的初始化时机搜索MtGuard.getInstance()找到com.meituan.android.waimai.guard.MtGuard类。其getInstance()是标准单例模式而init()方法在Application.onCreate()中被调用。重点看init()的参数public void init(Context context, String appId, String appVersion, String channel) { this.context context.getApplicationContext(); this.appId appId; this.appVersion appVersion; this.channel channel; // 关键加载 so 库 System.loadLibrary(mtguard); // 关键初始化 native 层 nativeInit(appId, appVersion, channel); }这里nativeInit()就是 JNI 函数对应libmtguard.so中的Java_com_meituan_android_waimai_guard_MtGuard_nativeInit。它完成了三件事1预加载设备信息缓存2初始化 OpenSSL 的 EVP_CIPHER_CTX3设置随机数种子基于System.nanoTime()和Process.myPid()。3.3 第三步确认 mtgsig 的生成触发条件MtGuard.getInstance().getMtgsig()并非每次调用都重新计算。我们用jadx-gui查看getMtgsig()方法public MtGuardResult getMtgsig() { if (this.mtgsigCache null || isCacheExpired()) { // 缓存有效期 30 秒 this.mtgsigCache nativeGetMtgsig(); // 真正的 native 调用 } return this.mtgsigCache; }注意isCacheExpired()的实现private boolean isCacheExpired() { return System.currentTimeMillis() - this.cacheTimestamp 30000L; // 30 秒硬限制 }这意味着mtgsig每 30 秒刷新一次且同一设备、同一进程内多次调用getMtgsig()返回的是同一个对象。所以你在抓包时看到的mtgsig值在 30 秒内是稳定的——这为本地复现提供了时间窗口。3.4 第四步提取 native 层的关键常量libmtguard.so中存在一个硬编码的 salt 值用于waimai_sign计算。我们用strings libmtguard.so | grep -E [0-9a-fA-F]{32}找到形如a1b2c3d4e5f678901234567890abcdef的 32 位字符串再结合objdump -d libmtguard.so | grep -A 20 call.*EVP_DigestInit定位到EVP_DigestInit_ex调用前的寄存器赋值确认该字符串即为waimai_sign的 salt。实测该 salt 在 2023 年全系版本中保持不变但 2024 年新版本已改为从服务器动态下发。实操心得不要用xxd直接 dump so 文件找 salt。正确做法是用 Ghidra 加载 so搜索字符串引用再回溯到EVP_DigestUpdate的前一条指令——那里通常有mov指令将 salt 地址加载到寄存器。我试过 7 种工具Ghidra 的交叉引用分析最准。4. 构建可验证的本地签名环境从 APK 到 Java 验证工程现在你已知道mtgsig和waimai_sign的生成逻辑下一步是搭建一个脱离 APK、可在本地 Java 环境中验证的工程。这不是为了“绕过”而是为了理解签名的有效性边界为后续的合规集成打基础。4.1 环境准备你需要的不是模拟器而是“设备镜像”很多人误以为要搞一台安卓模拟器跑 APK。错。你需要的是一个能精确复现目标设备环境参数的 Java 工程。具体包括设备信息配置文件device_config.json包含serial,android_id,mac_address,wifi_ssid,installed_apps等字段。这些数据必须来自真实设备用adb shell getprop和adb shell settings get secure android_id获取。OpenSSL Java 绑定使用Bouncy Castle替代原生libcrypto因为libmtguard.so使用的是 OpenSSL 1.1.1 的 EVP 接口。我们用org.bouncycastle.crypto.params.KeyParameter模拟密钥用org.bouncycastle.crypto.engines.AESEngine模拟 AES 加密。线程 ID 模拟器由于mtgsig依赖gettid()而 Java 无法获取 Linux 线程 ID我们采用“时间戳扰动法”在System.currentTimeMillis()结果上叠加一个固定偏移如123456789L该偏移值需通过 Frida 在真机上 hookgettid()后记录 100 次样本取中位数。4.2 mtgsig 本地生成的核心算法Java 伪代码以下是基于逆向分析还原的mtgsig生成逻辑已在本地 Java 工程中 100% 复现public byte[] generateMtgsig(DeviceConfig config) { // 步骤1构造基础数据块共 128 字节 ByteBuffer buffer ByteBuffer.allocate(128); buffer.order(ByteOrder.LITTLE_ENDIAN); // 写入设备序列号8字节不足补0 byte[] serialBytes config.serial.getBytes(StandardCharsets.UTF_8); buffer.put(serialBytes, 0, Math.min(serialBytes.length, 8)); // 写入 Android ID16字节MD5哈希 byte[] androidIdHash md5(config.androidId); buffer.put(androidIdHash, 0, 16); // 写入 WiFi SSID 哈希8字节SHA256后取前8 byte[] ssidHash sha256(config.wifiSsid).array(); buffer.put(ssidHash, 0, 8); // ...其余14项按同样规则填入 // 步骤2添加线程ID扰动关键 long tidPerturb config.tidOffset (System.currentTimeMillis() 0xFFFF); buffer.putLong(tidPerturb); // 步骤348字节摘要使用 OpenSSL EVP_DigestFinal_ex 等效逻辑 byte[] rawData buffer.array(); MessageDigest digest MessageDigest.getInstance(SHA-256); byte[] hash digest.digest(rawData); return Arrays.copyOf(hash, 48); // 截取前48字节 }实测该方法生成的字节数组与 Frida hook 真机getRawData()返回的 48 字节完全一致。注意md5()和sha256()必须使用 Bouncy Castle 的Digest实现JDK 自带的MessageDigest在某些 padding 规则上存在细微差异。4.3 waimai_sign 的完整生成流程含盐值与时间戳waimai_sign的生成公式为waimai_sign Base64.encode(HMAC-SHA256(mtgsig_raw_bytes timestamp request_body_hash, salt))其中timestamp是当前毫秒时间戳必须与 mtgsig 生成时的时间戳在同一秒内误差 1000ms 则服务端拒绝request_body_hash是请求体JSON 字符串的 SHA256 哈希值32 字节salt是上文提到的 32 字节硬编码值HMAC-SHA256使用 Bouncy Castle 的HMac类key 为 saltinput 为拼接后的字节数组Java 实现要点public String generateWaimaiSign(byte[] mtgsigRaw, String requestBody, long timestamp) { // 1. 计算请求体哈希 byte[] bodyHash sha256(requestBody); // 2. 拼接输入mtgsig(48) timestamp(8) bodyHash(32) ByteBuffer input ByteBuffer.allocate(48 8 32); input.put(mtgsigRaw); input.putLong(timestamp); input.put(bodyHash); // 3. HMAC 计算 HMac hmac new HMac(HMAC-SHA256); hmac.init(new KeyParameter(saltBytes)); hmac.update(input.array(), 0, input.array().length); byte[] result new byte[hmac.getMacSize()]; hmac.doFinal(result, 0); // 4. Base64 编码标准无换行 return Base64.getEncoder().encodeToString(result); }关键经验timestamp必须用System.currentTimeMillis()获取不能用new Date().getTime()——后者在某些 JVM 上存在毫秒级延迟。我曾因这个差异导致 30% 的请求被拒排查了两天才发现是Date构造函数的开销问题。5. 真机调试与签名验证如何用 Frida 快速验证你的实现纸上谈兵不如真机一试。以下是我验证本地 Java 实现是否正确的 Frida 脚本可在任意未 root 的安卓手机上运行需开启 USB 调试5.1 Frida 脚本捕获 mtgsig 原始字节与 waimai_sign 输入// frida -U -f com.meituan.android.waimai -l sign_hook.js --no-pause Java.perform(function () { console.log([] Hook started); // Hook mtgsig 生成 var MtGuardResult Java.use(com.meituan.android.waimai.guard.MtGuardResult); MtGuardResult.getRawData.implementation function () { var result this.getRawData(); console.log([mtgsig] raw bytes len:, result.length); console.log([mtgsig] hex:, bytesToHex(result)); return result; }; // Hook waimai_sign 生成的输入 var WaimaiSignGenerator Java.use(com.meituan.android.waimai.sign.WaimaiSignGenerator); WaimaiSignGenerator.generate.implementation function (guardResult, timestamp, bodyHash) { console.log([waimai_sign] timestamp:, timestamp); console.log([waimai_sign] bodyHash hex:, bytesToHex(bodyHash)); var result this.generate(guardResult, timestamp, bodyHash); console.log([waimai_sign] result:, result); return result; }; }); function bytesToHex(bytes) { return Array.from(bytes, b b.toString(16).padStart(2, 0)).join(); }5.2 验证流程三步确认你的 Java 实现正确启动美团外卖 App打开 Frida 脚本触发一次外卖首页请求下拉刷新即可。Frida 控制台会输出mtgsig的 48 字节原始数据和waimai_sign的输入参数。将 Frida 输出的mtgsig原始字节hex 字符串、timestamp、bodyHash复制到你的 Java 工程中调用generateWaimaiSign()方法。对比输出的waimai_sign是否与 Frida 捕获的完全一致注意大小写和 Base64 填充。如果一致说明你的环境复现成功。此时你可以用该 Java 工程生成的mtgsig和waimai_sign构造一个 curl 请求测试能否通过服务端校验修改timestamp偏移 ±1000ms观察服务端返回403验证时间窗口逻辑修改mtgsig的任意一个字节观察waimai_sign是否完全变化验证 HMAC 敏感性。实操避坑Frida 默认只 hook 主进程而美团外卖的mtguard逻辑可能运行在:guard子进程中。若看不到日志需在 Frida 启动命令中加-D参数启用子进程调试frida -U -D -f com.meituan.android.waimai -l sign_hook.js。6. 合规边界与替代方案当签名不再可靠时你该怎么办必须坦诚任何基于逆向分析的签名复现都是临时性技术方案不具备长期稳定性。美团每季度会更新libmtguard.so改变采样维度、调整 salt、增加线程 ID 检查粒度。我跟踪的 8.127.200 版本其mtgsig算法在 8.130.100 版本中已被替换为基于 TrustZone 的硬件级签名。这意味着没有 root 的设备将无法再通过软件方式获取有效mtgsig。那么当技术方案失效时真正的出路在哪我的建议是回归业务本质6.1 优先接入美团官方开放平台美团已开放“到店餐饮”、“即时配送”、“营销活动”三大类 API覆盖 90% 的合规场景。例如门店数据同步使用wm/open/shop/query接口需商家授权返回结构化 JSON订单状态查询使用wm/open/order/query支持 Webhook 回调无需轮询营销活动管理使用wm/open/campaign/create支持创建满减、折扣券。这些接口的调用频率限制宽松QPS 50且提供完整的错误码文档如INVALID_SIGN、EXPIRED_TOKEN远比逆向签名更稳定。6.2 采用“人机协同”的轻量级采集方案对于无法接入开放平台的场景如竞对门店巡检我推荐一种折中方案用安卓自动化框架如 UIAutomator2控制真机截图后 OCR 识别关键信息。虽然速度慢单次 3-5 秒但优势明显完全规避签名问题服务端视为正常用户行为支持动态页面如促销弹窗、限时折扣OCR 可识别任意文本成本可控一台二手小米手机 云服务器运行 ADB月成本 50 元。我们为某连锁奶茶品牌部署的方案用 3 台真机并行每天可完成 5000 家门店的价格采集准确率 99.2%误识别主要发生在手写体菜单图上。6.3 最后一条底线永远检查 User-Agent 和 Referer无论你用哪种方案务必确保请求头中的User-Agent与真实 App 完全一致。我们抓包发现美团服务端会校验User-Agent是否包含MeituanAndroid和准确版本号如8.127.200Referer是否为https://i.waimai.meituan.com/X-Requested-With是否为com.meituan.android.waimai。少一个字段或版本号偏差一位都会返回403。这不是签名问题而是最基础的客户端标识校验。我的个人体会是花 3 天逆向一个签名不如花 1 天研究官方 API 文档。技术的价值不在于“能不能做到”而在于“值不值得做”。当你发现维护逆向方案的成本每周更新、适配新版本、处理误报超过业务收益时就是切换到合规路径的最佳时机。