虚幻blog - js逆向
type: channel
link: https://www.illusory.cn/index.php/tag/js逆向/
items: 某稀小程序敲木鱼活动逆向分析
items: 某教务系统登录逆向分析
items: 某易云音乐加密参数逆向分析
items: 某安信登录机制逆向分析
items: 微博访客系统逆向分析

某稀小程序敲木鱼活动逆向分析
type: item
date: 2024-02-26T08:00:00+08:00
description: 本篇文章作者 ius，本文属 i 春秋原创奖励计划，未经许可禁止转载原文链接：https://bbs.ichunqiu.com/thread-63876-1-1.html某稀小程序敲木鱼活动逆向分析前言最近发现某稀在小程序搞了个活动，敲木鱼赢好礼。身为一名程序猿，必然要分析分析请求接口辣image-20240212225711002正文抓包软件，启动!image-20240212225938249然后我们打开活动界面，测试一下image-20240212230100622ok，一切正常image-20240212230051819然后进入游戏，开始抓接口image-20240212230240197可以看到这个就是提交接口的返回内容image-20240212230748721里面的参数只有token是未知的，我们的目标就是搞定这个参数image-20240212230828453而且这个参数每次都会变动，并非固定的image-20240212230944369通过分析抓包流程可以发现，在每次的接口提交中，都会对这个接口发起请求image-20240212232159181我们可以大胆的推测，token就是由这个data来生成的image-20240212231142586先模拟请求一下，把data摘出来image-20240212232520621放到js里运行一下image-20240212232657057提示缺少window，我们在开头补上image-20240212232742120再次运行，可以运行成功，但是没有结果image-20240212232802325我们去浏览器里运行测试看看，是不是检测nodejs环境了在浏览器里控制台会打印一个falseimage-20240213000118100这时候，我们要想办法调试一下，单看肯定看不出来先给代码格式化一下image-20240213000309188这些注释估计就是混淆视听的，我们用正则去除一下image-20240213000354202然后再格式化一下image-20240213000429103在最后下个断点可以发现，在window中生成了一堆乱码这样看来单纯的分析这个js好像没什么头绪了image-20240213000700057在抓包流程中，我们可以发现小程序的首页对于这种内嵌的网页，我们尝试直接从浏览器访问image-20240212233053130访问成功，但是提示我们没有登录image-20240212233124868我们把抓包中的cookie导入到浏览器中，这里需要用到一个Cookie-Editor这个插件，在chrome扩展商店可以下载到复制cookieimage-20240212233311522导入image-20240212233359849刷新界面，这次没有提示我们未登录image-20240212233431180在浏览器调试就舒服多了，随便给下个xhr断点image-20240212233804914再次提交，成功断住image-20240212233848211开始跟栈分析token生成位置此处省略1万字简单说一下这种流程如何跟栈吧我们从这里可以大概的看一下，调用函数名称image-20240212234930444总览一下，看看有哪些函数名比较关键image-20240212235016397这里有个叫startGame的函数，我就选择在这里断点，然后一步一步分析跟到这里的时候，我们可以发现参数token的生成image-20240212235228757image-20240212235302145进去之后，发现是这样的一串代码这个代码的意思是，从window里获取p83d60的值image-20240212235326205我们从控制台测试一下image-20240212235526146看着就像token，我们放行断点，看看发包是不是这个值看着这俩参数长得不能再一样了image-20240212235606115所以这个token是从window里取得值。我们回到刚才测试js里打印一下windowimage-20240212235731699果然有一堆乱七八糟的参数试试打印window['p83d60']undefined？image-20240212235826452我们重新获取一次data，然后再打印试试image-20240212235943352这次成功获取到了，所以看来这个window的值并非固定的。经过测试发现，这个值大概是1个小时会变一次不过，这点小伎俩，怎么可能会阻碍到聪明绝顶的我？？在这个js中，只有一个参数是我们想要的，而其他的值都是用来混淆视听的所以我们可不可以，获取两次data，然后在生成…

某教务系统登录逆向分析
type: item
date: 2024-01-30T08:00:00+08:00
description: 本篇文章作者 ius，本文属 i 春秋原创奖励计划，未经许可禁止转载原文链接：https://bbs.ichunqiu.com/thread-63833-1-1.html某教务系统登录逆向分析前言image-20240123081743636这个系统相信很多高校都在用，有时候期末出成绩，我们经常会吃完饭看看，打完游戏看，刷完抖音看看，睡醒一觉也得看。这次带大家分析一下这个系统的登陆参数，还有验证码如何识别。目标参数：image-20240123082014787正文我们全局搜索csrftoken可以看出来这是后端生成的一个随机值，然后被隐藏了起来image-20240123082254962在元素中找到这个值，然后右键复制->复制XPathimage-20240123082603914复制出来的是这样的//*[@id="csrftoken"]我们在后面加上/@value意思是取这个元素中的属性值，运行测试，没有问题image-20240123082818929然后我们全局搜索encrypt为什么搜这个呢，这是因为在前端加密中，经常会用到这个加密函数，如果是没有混淆的网站，搜这个一般都可以搜出来然后我们找到了密码加密的位置打上断点，重新提交测试image-20240123083236707成功断点image-20240123083753922我们可以看出来，这是一个RSA加密，先是将公钥中的模数和指数转为hex，然后进行设置这里的公钥是网络请求出来的image-20240123084130278流程有了，我们先把js代码模拟出来。image-20240123084400816image-20240123084437474跟浏览器的对比一下，可以看出是一样的image-20240123084453940然后测试一下modulusimage-20240123084718775image-20240123084727489可以发现也是没有一点点问题的接着，我们来模拟一下RSA加密先在终端安装node-rsa npm install node-rsaimage-20240123085408092安装成功后我们导入开始模拟经过一番测试之后我发现node中传递公钥需要传递Buffer流所以不需要b64tohex...image-20240123090541865现在加密模拟出来了，我们来模拟登录流程首先，请求登录页面，获取csrftoken然后，请求公钥接口，获取publickey最后，使用公钥对密码进行RSA加密image-20240123091600929加密参数都模拟好了，我们来请求测试一下因为频繁的测试，导致出现了验证码image-20240123092056627这里我们使用ddddocr来识别验证码写入到本地来查看是否相同image-20240123092939976运行可以看到，识别出来的是一样的image-20240123093003010image-20240123093009424然后我们开始提交请求提示我们密码不正确？？？image-20240123100335241这里我们检查一遍流程发现没有任何问题密码也确定是对的那只有一种可能就是加密出来的密码不对然后我们开始一一对照image-20240123100526490我们查看对比浏览器的加密后16进制数因为使用的是rsa加密。所以每次结果都会不相同，这里我们无法对比我们测试加密后的结果，有何不同image-20240123100613288可以发现，经过base64编码后的结果不相同第一个是使用通用base64进行编码第二个是使用此处的base64函数编码可以发现这里的是魔改base64我们选择直接复制此处的base64文件image-20240123100730630image-20240123100949211image-20240123100957709再次编码发现结果相同了image-20240123100924620导出函数image-20240123101505973image-20240123101520502再次运行还是报错？！image-20240123100335241此处我再次怀疑是我加密方式不对然后我选择将整个rsa加密文件扣下来使用他使用的加密方式，我这还能错？？运行测试image-20240123121427998？？？？？？？此处省略1万的问号还说我密码不正确？？？在这里，我浪费了大量的去反复检验流程是否错误加密是否错误检验到最后发现，一样的不能再一样了这是怎么回事？image-20240123100335241其实这里使用了大名鼎鼎的TLS指纹校验TLS指纹不同于ua，是比较底层的一种标识那我们怎么解决呢？使用curl-cffi库，就能…

某易云音乐加密参数逆向分析
type: item
date: 2024-01-22T00:00:00+08:00
description: 本篇文章作者 ius，本文属 i 春秋原创奖励计划，未经许可禁止转载原文地址：https://bbs.ichunqiu.com/thread-63811-1-1.html某易云音乐加密参数逆向分析前言：目标网站：aHR0cHM6Ly9tdXNpYy4xNjMuY29tLw==加密参数：image-20240115092209120正文：参数分析：打开F12，点击右上角搜索进行歌曲搜索image-20240115092611240image-20240115092653244image-20240115092656783查看请求参数发现被加密，我们尝试全局搜索encSecKeyimage-20240115092818504搜到了很多地方，我们先点进第一个查看一下，因为第一个的js文件名带着coreimage-20240115092918041看着很像加密处，我们再查看一下第二个搜索image-20240115093000802这里能明显看出来是请求提交的地方，我们断个点image-20240115093036643因为搜索栏是实时的，我们点击一下搜索栏试试image-20240115093136126成功断住，我们开始分析params: bVi9Z.encText,encSecKey: bVi9Z.encSecKey这两个参数是通过bVi9Z变量取的里面的数值，所以我们直接分析bVi9Z是如何生成的光标放到函数上进行查看，我们点击跳转到函数原位置image-20240115093358070跟我们第一次进入的是同一个位置，说明加密就在此处生成然后我们来分析一下加密函数的构造image-20240115093446177可以明显的发现，我们传递给加密函数的参数是由这四个组成image-20240115093555209我们来控制台一一打印看看image-20240115093732206JSON.stringify(i3x)就是我们的post参数内容bsu5z(["流泪", "强"]) 看着像是一个固定的数字bsu5z(Xo5t.md) 是一串很长的字符串bsu5z(["爱心", "女孩", "惊恐", "大笑"]) 是一串乱码我们为了确定这里面的参数哪些是改变的，哪些是不改变的。所以要进行多次重放测试此处省略测试过程...经过我的多次测试发现，此处的参数只有第一个是改变的，其他的都是固定不变的。知道了加密参数的位置还有传递参数的内容，我们就可以开始尝试还原加密参数了算法还原：我们新建一个文件，开始还原算法image-20240115094422665构造完最基本的内容之后，我们开始运行，运行之后我们缺什么就补什么image-20240115094640307缺少a函数的定义，在上面就可以发现a函数，加密函数也都在这个自执行函数里面，我们直接把这一块全拿出来image-20240115094747406再次运行说缺少window，我们在文件顶部补上 window=globalimage-20240115094836361这次运行后提示缺少CryptoJs我们知道Cryptojs是个js的加密库，我们在刚才的地方搜索一下看看有没有定义，如果存在的话，我们直接复制下来拿来用即可。image-20240115094908219您才怎么着，还真让我搜到了image-20240115095019367我们直接把这一大串复制下来，粘贴到我们自己的js文件中，然后运行image-20240115095339074这次提示我们缺少encrypt这个函数，继续从源文件中寻找image-20240115095741539可以发现这里很像AES的构造，我们把这一大块扣下来运行试试image-20240115095843440提示我们缺少p，在抠出来的函数顶部可以发现p是u.lib.BlockCipherimage-20240115095934987搜索到BlockCipher的位置，我们继续扣扣扣image-20240115100017297这次提示缺少setMaxDigitsimage-20240115100120103再来搜索image-20240115100151959运行，提示缺少BigInt，可以在上面的图片发现，这个函数就下面image-20240115100244518为了减少操作，我们直接都拉下来，然后运行image-20240115100501683这次不提示缺函数了，提示缺变量。。继续搜索发现 bitsPerDigit = biRadixBitsbiRadixBits就在左边=16，我们定义一下image-20240115100548287image-20240115100628415再次运行，提示缺少这个biHalfRadix，继…

某安信登录机制逆向分析
type: item
date: 2024-01-15T08:00:00+08:00
description: 本篇文章作者ius，本文属i春秋原创奖励计划，未经许可禁止转载原文地址：https://bbs.ichunqiu.com/thread-63786-1-1.html某安信登录机制逆向分析我们先随意输入账号密码进行测试image-20240105222707586点击登录后出现极验滑块image-20240105155536009极验三代水平不高，直接秒。image-20240105160252840滑块请求成功之后，会向该链接请求公钥https://user.skyeye.qianxin.com/api/v1/encrypt/public-keyimage-20240105155648767查看我们的登录请求image-20240105155946141发现请求是XHR，先用XHR断个点image-20240105155933517断住之后逐步跟栈image-20240105161940048找到key_iv的位置image-20240105160622604f是请求来的公钥image-20240105161902818r=s(),进入s函数，随机生成的image-20240105161705319image-20240105162031991s = function() { for (var e = "", a = 0; a < 32; a++) e += Math.floor(16 * Math.random()).toString(16); return e }然后进入l函数查看,简单的加密，把f替换成crypto即可image-20240105162058606b是个 RSA 对象，原型链存放着加密方法 此处使用的是JSEncryptimage-20240105162922106直接用nodejs实现image-20240105203424759密码加密image-20240105185024165image-20240105171337946把代码抠出来，运行，一模一样image-20240105222837524参数都解决完了，整理一下代码image-20240105202202166运行测试看看image-20240105222959444登录成功image-20240105202347721总体来说，该网站登录流程比较简单，水平不高。下面附上代码：const crypto = require("crypto-js"); window = global const NodeRSA = require('jsencrypt'); function short() { for (var e = "", a = 0; a < 32; a++) e += Math.floor(16 * Math.random()).toString(16); return e } function password(e, a) { var c = a.substring(0, 16); a = crypto.enc.Utf8.parse(a), c = crypto.enc.Utf8.parse(c), e = "string" === typeof e ? e : JSON.stringify(e); var t = crypto.AES.encrypt(e, a, { iv: c, mode: crypto.mode.CBC, padding: crypto.pad.Pkcs7 }); return t.toString() } function key_iv(e, a) { var c = a.substring(0, 16); a = crypto.enc.Utf8.parse(a), c = crypto.enc.Utf8.parse(c); var t = { key: crypto.enc.Base64.stringify(a), iv: crypto.enc.Base64.stringify(c) }; t = JSON.stringify(t) var aa = new NodeRSA() aa.setPublicKey(e); return aa.encrypt(t) } import json import execjs import requests account="11111111111" password="111111" headers = { 'Accept': 'application/json, text/plain, */*', 'Accept-Language': 'zh-CN,zh;q=0.9,en-US;q=0.8,en;q=0.7', 'Cache-Control': 'no-cache'…

微博访客系统逆向分析
type: item
date: 2023-12-15T08:00:00+08:00
description: 本篇文章作者 ius，本文属 i 春秋原创奖励计划，未经许可禁止转载原文地址：https://bbs.ichunqiu.com/thread-63784-1-1.html微博反爬机制逆向分析前言相信每个接触爬虫的人，肯定会对微博进行一点点的骚操作。但是我们在对微博进行请求的时候，微博是会对cookie校验的，而我们在模拟操作的时候，是直接把浏览器的cookie进行copy，虽然我没有测试过这个cookie的有效期，但我觉得这样只适合日常测试，教学等。不能实现一劳永逸。当我们没有携带cookie进行微博的访问时，会出现Sina Visitor System字样的标题，如果我们是正常的浏览器访问的话，这个空白页面会一闪而逝，然后跳转到微博界面。所以我们可以确定，这个页面就是微博的反爬机制，我们的研究也就从此处开始。正文测试链接：https://s.weibo.com/weibo?q=%E8%9C%98%E8%9B%9B%E4%BE%A0打开一个无痕界面，在F12中打开 停用JavaScript，因为空白界面一闪而逝，我们要先停掉跳转，方便分析。访问链接，我们看到了这个反爬页面的全貌，此处空白是空白页的颜色，，，我们对此处断点，断点后再刚才的地方关掉停用JavaScript，刷新界面，发现断点成功我们的目的是找到生成cookie的位置，知道目的之后，我们开始逐步分析走完html发现进入到了这个js文件内，微博人挺好的，还把每块代码的作用给注释好了虽然我很想把每一步的调试都发出来，但是实际上大部分的操作都没有记录的意义。。。所以我就把关键的部分写出来，节省大家的时间。当我们断点跟到此处的时候，我们发现了设置cookie的代码（其实不单步调试也可以，直接搜cookie也能搜出来。但是在我们逆向之前，我们并不清楚这类代码有没有被混淆。。。所以在最开始我并没有搜索关键字。。）我们向上找堆栈，看看cookie是如何生成的。嘿，您猜怎么着！看到此处的我大吃一惊，因为这并不是js代码。。反而是一个请求返回内容然后继续向上看，跟到了刚才的空白页中。好好好好，你家cookie不从本地生成从网络请求是吧！此处省略无数个点既然知道是从网络请求的cookie了，我们就打开网络面板，揭开他神秘的面纱:)这样看太费劲了，我们copy到postman里分析，同时也是为了方便调试ctrl+o直接把curl甩进去，接着我们请求一下，可以看到请求成功的cookie正安详的躺着。POST的内容也是固定值，看样子没有什么要分析的我们点击右侧边栏的<> 然后转换成python语言，放到ide里好好拷打一番ok，不负众望，我们也是请求成功然后我们使用正则，将cookie中的SUB、SUBP、tid提取出来，然后我们再次运行没有问题，我们包装成函数，方便调用，顺便改个文件名方便导入下面进行测试看看，先导进来看看能不能用请求正常，我们用刚才的测试链接进行访问试试访问失败了？？？！！！！在这里我又进行了无数次的调试，抓包。结果最终发现。。。是这里的cookie名称写错了，应该大写为SUB、SUBP。Tips：tid在后来测试中发现没用使用，然后我就删掉了修改完之后，我们再来测试一下，不出意外的话，这次是真没出意外请求成功了！至此，我们的微博反爬机制成功绕过！此处应该有掌声。经过我多次请求发现，这个地方的cookie是跟IP地址有关的，只有更换IP后才会刷新cookie。当然，如果当前IP的访客cookie过期的话，是会自动更新的。后记写完代码之后，想起来之前写的一个微博扫码登陆程序，最开始的时候是可以用的，后来再次请求的时候会出现Sina Visitor System，当时技术有限，不知道怎么解决。这次既然解决了，把cookie带上看看能不能成功运行不出意外的话，这次肯定不会出意外了。代码成功运行，获取登录cookie成功！ ——圆了高中时期，在手机上逆向微博生成短链接的梦。