篇幅有限

完整內容及源碼關注公眾號：ReverseCode，發送沖

當我們拿到一個網站時，首先就是抓包定位加密參數的實現，本文將通過常用的定位方案結合實際案例完成對加密參數的分析。

搜索關鍵參數

這是最常見也是最簡單的定位方案，F12打開網站控制臺后，Ctrl+Shift+F打開搜索面板，比如搜索password參數或者submit函數

password:`,`password=`,`password =`請求url，搜索方法`var submit`或者`function submit`或者`submit:

to8to

圖片

搜索password位置太多，由于抓包請求是new_login.php

圖片

在Element面板中搜索new_login.php，ctrl+shift+f 搜索loginCheck

圖片

該方法中jq('#rsa_userNum').val(rsaString(password));，調用rsaString方法加密password

function rsaString(str) {
    return encodeURIComponent(RSAUtilszb.encryptfun(str));
}

進入encryptfun定義的js中，rsa加密最少2000行，該方法不過163行，拷貝該js通過編程貓專用工具中的JS調試工具，加載代碼，報錯引用錯誤: window 未定義，添加var window = this;,報錯引用錯誤: JSEncrypt 未定義,添加原js中var JSEncrypt = JSEncryptExports.JSEncrypt;，報錯引用錯誤: JSEncryptExports 未定義,搜索var JSEncryptExports，將var JSEncryptExports = {};添加到JS調試工具，報錯類型錯誤: JSEncrypt is not a constructor

圖片

嘗試打上斷點，但是每次都不能進入斷點，說明肯定是動態加載的js，且每次刷新js后綴會有時間戳。勾選Disable cache,打開fiddler抓包，將js拷貝到本地實現http欺騙，選中該請求點擊AutoResponder-Add Rule下拉選擇Find a File,找到本地保存的js并開啟規則

圖片

由于每次js請求地址不一樣，使用正則匹配regex:https://static\.to8to\.com/gb_js/to8torsaszb\.js\?_=\d+并保存規則重新發起請求https://static.to8to.com/gb_js/to8torsaszb.js?_=1628128571412，使用本地js欺騙網絡請求js

圖片

將整個js格式化找到之前報錯JSEncrypt is not a constructor是從上面的壓縮的js中export出來的

圖片

將上面壓縮的代碼添加到編程貓的JS調試工具中加載代碼，報錯引用錯誤: navigator 未定義，添加var navigator = {}，報錯引用錯誤: window 未定義，添加var window =this,因為如果用window ={}報錯ASN1 未定義,而用this則可以拿到當前js中所有的變量函數。

圖片

dom元素事件監聽

通過控制臺的Elements中的Event Listeners逐個排除按鈕的Remove節點，直到最后一個Event Listeners使按鈕無效，拿到該按鈕真正生效的js位置。

中煙新商盟

圖片

以下通過dom元素事件監聽實現對該j_mcmm加密參數邏輯定位分析。

圖片

以上通過盡可能多的地方打上斷點，監聽元素事件定位到jsmain-9826b285f8fad5a5.js，左下角格式化js后添加斷點，在js頁面ctrl查看所有變量值

圖片

鼠標懸停，或者控制臺打印出來，點擊進入方法聲明時打上斷點，為同一行中的函數打上斷點，F8單步調試,完成加密參數的定位

圖片

xhr斷點

通過定位發包函數跟棧，復制網址請求路徑到Sources下的XHR/fetch Breakpoints，支持正則。

七麥數據

圖片

通過關鍵加密參數analysis搜索無果，嘗試在Sources中加入XHR斷點，以請求路徑作為斷點內容

圖片

XHR斷點后追溯調用棧，查看每個調用棧的出入參是否包含加密后的analysis,直到進入Promise異步l.request，單步調試到n.then(t.shift(), t.shift()),then作為Promise的異步函數，promise.then(onCompleted, onRejected);，而shift()通過逐條調用t中的方法，參數是上一個方法的返回值，同時刪除該方法，相當于隊列先進先出。控制臺打印t，逐個方法進入打上斷點

圖片

在l.prototype.request中暫時還沒生成analysis加密參數，逐個進入t方法中

圖片

執行完r().interceptors.request.use該方法后生成的a就是analysis，觀察該代碼中的邏輯完成加密分析。a=(0,n.cv)((0,n.oZ)(r, l))作為逗號表達式，由上圖分析n.cv和n.oZ是函數，r和l是變量，可以還原為n.cv(n.oz(r,l))。

通過控制臺獲取n中的函數

window = global;
window.document = {
    cookie: ''  // 這邊帶上自己的cookie
}
function i(e) {
    var t, a = (t = "",
        ["66", "72", "6f", "6d", "43", "68", "61", "72", "43", "6f", "64", "65"].forEach((function (e) {
                t += unescape("%u00" + e)
            }
        )),
        t);
    return String[a](e)
}
function s() {
    return unescape("861831832863830866861836861862839831831839862863839830865834861863837837830830837839836861835833".replace(/8/g, "%u00"))
}
var n = {
    oZ: function g(e, t) {
        t || (t = s());
        for (var a = (e = e.split("")).length, n = t.length, o = "charCodeAt", r = 0; r < a; r++)
            e[r] = i(e[r][o](0) ^ t[(r + 10) % n][o](0));
        return e.join("")
    },
    cv: function h(e) {
        return function (e) {
            try {
                return btoa(e)
            } catch (t) {
                return Buffer.from(e).toString("base64")
            }
        }(encodeURIComponent(e).replace(/%([0-9A-F]{2})/g, (function (e, t) {
                return i("0x" + t)
            }
        )))
    },
    ej: function u(e) {
        var t, a = new RegExp("(^| )" + e + "=([^;]*)(;|$)");
        return (t = document.cookie.match(a)) ? unescape(t[2]) : null
    }
}

由于btoa本質就是base64加密，通過引入CryptoJS.pad.js后

function base64(data) {
 var wordArray = CryptoJS.enc.Utf8.parse(data);
 var base64_data = CryptoJS.enc.Base64.stringify(wordArray);
 return base64_data
}
var n = {
    oZ: function g(e, t) {
        t || (t = s());
        for (var a = (e = e.split("")).length, n = t.length, o = "charCodeAt", r = 0; r < a; r++)
            e[r] = i(e[r][o](0) ^ t[(r + 10) % n][o](0));
        return e.join("")
    },
    cv: function h(e) {
        return function (e) {
            try {
                return base64(e)
            } catch (t) {
                return Buffer.from(e).toString("base64")
            }
        }(encodeURIComponent(e).replace(/%([0-9A-F]{2})/g, (function (e, t) {
                return i("0x" + t)
            }
        )))
    },
    ej: function u(e) {
        var t, a = new RegExp("(^| )" + e + "=([^;]*)(;|$)");
        return (t = document.cookie.match(a)) ? unescape(t[2]) : null
    }
}

將try/catch中邏輯還原

var l = "00000008d78d46a"
var d = "@#"
var e = {
    // url: "/rank/indexPlus/brand_id/1",
    url: "/rank/indexPlus/brand_id/" + pg,    // 1.免費榜 0.付費 2.暢銷榜
    baseURL: "https://api.qimai.cn",
}
var c = {
    default: function On(e) {
        this._init(e)
    }
}
var u = "synct"
var t = (0, n.ej)(u);
var m = "syncd"
var f = f = c.default.prototype.difftime = -(0, n.ej)(m) || +new Date - 1e3 * t
var o = +new Date - (f || 0) - 1515125653845
var r = []
r = r.sort().join(""), r = (0, n.cv)(r), r += d + e.url.replace(e.baseURL, ""), r += d + o, r += d + 1,
a_ = (0, n.cv)((0, n.oZ)(r, l))
return a_

圖片

Initiator棧追蹤

Network下的發包請求的Initiator，如jquery堆棧的頂層斷點(可能會請求多次，找到發包請求時進入的斷點)，重新請求找到堆棧中屬于目標網站的js格式化斷點。

升學e網通

登錄抓包，打開Initiator，進入堆棧頂層定位的代碼行

圖片

打上斷點，查看右側調用棧，逐個方法往底層去調用，直到react庫js找到了preLogin，找到出現password的位置，打上斷點

圖片

再次登錄時，進入斷點，找到password

圖片

進入加密方法中，aes加密

圖片

打開WT-JS中的Crypto類復制key和iv，輸出以HEX的十六進制格式，對比結果是標準的AES加密。

圖片

基于base64或十六進制的AES加解密實現見aes.js

圖片

長房集團

圖片

搜索j_password后打斷點，重新登錄

圖片

進入desEncrypt中，大致加密完成邏輯就在該函數中

圖片

加密邏輯中首先根據SECURITYKEY.get()獲取到key，首先通過請求后端拿到str，判斷加密類型是否為aes后截取字符串通過toHexString轉成十六進制拿到key和iv和security

圖片

整理完邏輯扣出js報錯CryptoJS is not defined,點擊進入CryptoJS.AES.encrypt扣出來aes.js源碼

function getdes(encodeType) {
    // 請求"/resource/js/session.jsp?_=1628210376229"返回
    var str = "E55A433905551AC39DB3165591D9CD74";
    if (encodeType == null || encodeType == 'aes') {
        if (str.length < 32) {
            str += "abcdefghijklmnopqrstuvwxyz1234567890"
        }
        str = str.toUpperCase();
        var key = {};
        key.key = str.substring(0, 16);
        key.iv = str.substring(16, 32);
        key.security = "\u4435\u5320\u4d35"
    } else {
        if (str.length < 16) {
            str += "abcdefghijklmnopqrstuvwxyz"
        }
        str = str.toUpperCase();
        var key = {};
        key.key = toHexString(str.substring(0, 8));
        key.iv = toHexString(str.substring(8, 16));
        key.security = "\u4445\u5320\u4d45"
    }
    return key
}
function getPwd(value, type) {
    var keyObj = {};
    if (type == null || "aes" == type.toLowerCase()) {
        keyObj = getdes()
        value = CryptoJS.AES.encrypt(value, CryptoJS.enc.Utf8.parse(keyObj.key), {
            iv: CryptoJS.enc.Utf8.parse(keyObj.iv)
        }).toString()
    } else {
        keyObj = getdes()('des');
        value = CryptoJS.DES.encrypt(value, CryptoJS.enc.Hex.parse(keyObj.key), {
            iv: CryptoJS.enc.Hex.parse(keyObj.iv)
        })
    }
    return keyObj.security + value
}

圖片

安裝編程貓插件

fiddler 版本必須 >= v4.6.3，復制Fiddler 編程貓專用插件到fiddler程序目錄下的Scripts目錄中示例: C:\Program Files (x86)\Fiddler2\Scripts

愛奇藝

覆蓋原函數

  function xxx(){
      console.log("1111")
  }
  var xxx_ = xxx;
  xxx = function(){
      console.log("2222")
  }
  window.alert = function(){console.log("?")}
  console.clear = function(){console.log("?")}
  setInterval = function(){}

Object.defineProperty替換對象屬性(getter.setter)

  (function () {
      var a = "";
      Object.defineProperty(document, 'cookie', {
          set: function (val) {
              console.log('Hook捕獲到cookie設置->', val);
              a = val;
              return val;
          },
          get: function(){
              return a;
          }
      });
  })();
  document.cookie = "1"  // 設置
  document.cookie  // 獲取

hook的時機在控制臺注入的hook，刷新網頁就失效了，過濾Network的js找到第一個加載的js，右鍵Open in Sources panel格式化，第一行斷點，不過有些cookie可能異步可能在html中js生成，在控制臺中注入以上hook，清除cookie，手動注入hook，控制臺中找到VM虛擬機找到我們的hook的js打上斷點，，每次hook都會經過set，右側就可以查看調用棧，追溯cookie的來源與加密方式。(有可能注入hook的時機會晚于部分異步請求或者html中的js)

圖片

利用fiddler代理所有請求替換響應,編程貓專用工具注入hook

圖片

(function () {
    'use strict';
    Object.defineProperty(document, 'cookie', {
        set: function (val) {
            if (val.indexOf("__dfp") != -1) {
                debugger;
            }
            console.log('Hook捕獲到cookie設置->', val);
            return val;
        }
    });
})();

圖片

接下來查看調用棧，最終保存到window.name中。

(function () {
    'use strict';
    var a = "";
    Object.defineProperty(window, 'name', {
        set: function (val) {
            debugger;
            a = val;
            console.log('Hook捕獲到cookie設置->', val);
            return val;
        }, 
        get: function(){
            return a;
        }
    });
})();

重新進入iqiyi，斷點完成hook定位從而可以根據調用棧分析cookie的生成邏輯。

本文由博客群發一文多發等運營工具平臺 OpenWrite 發布

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美国产综合欧美视频

JS逆向之基礎定位技巧

JS逆向之基礎定位技巧

篇幅有限

搜索關鍵參數

to8to

dom元素事件監聽

中煙新商盟

xhr斷點

七麥數據

Initiator棧追蹤

升學e網通

長房集團

安裝編程貓插件

愛奇藝

推薦閱讀更多精彩內容

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美 国产 综合 欧美 视频

JS逆向之基礎定位技巧

篇幅有限

搜索關鍵參數

to8to

dom元素事件監聽

中煙新商盟

xhr斷點

七麥數據

Initiator棧追蹤

升學e網通

長房集團

安裝編程貓插件

愛奇藝

推薦閱讀更多精彩內容

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美国产综合欧美视频