【网络安全】记一次数据包解签名实战

声明：系统为授权测试，本文所提供的信息学习研究或自查使用，切勿用于非法用途，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本文作者不承担任何责任。

前言

来了一个测试项目，启动burp开始日常操作后，很快就发现事情不太对劲，应用系统使用数据包签名用于数据防篡改，本文主要介绍寻找签名算法和实现自动化签名的过程。

找签名算法

观察http请求包后发现发现有sign字段，应该是对请求内容做了签名防篡改，签名破解不了，也就没法开始后面的业务测试。

从burp里找到该接口对应的html页面，在浏览器访问该页面，打开F12源代码里进行搜索，根据经验尝试对请求里的sign、reqno这几个参数进行反查，最终确定到这一段可疑代码。

代码是看不懂滴，能调就调，530行下断点，刷新下网页，可以看到，c是由http body、reqNo、reqTime组成，t是一段字符串，m不知道是个什么函数。

i=m()(c+t)
"sign"：i

先试试hash算法，命中了md5。