python爬虫JS逆向：X咕视频密码与指纹加密分析

本文链接：https://blog.csdn.net/m0_56169789/article/details/136860648

先来看看今天的受害者：

aHR0cDovL3d3dy5taWd1dmlkZW8uY29tL21ncy93ZWJzaXRlL3ByZC9pbmRleC5odG1s

一、分析密码加密

这次分析的是他登陆的三个参数，先分析登陆逻辑，抓个包看看。

可以看到这里用的是弹出的窗口登陆【图1-1】，为了避免主页其他元素的干扰抓包，我们可以通过右键查看框架源代码的方式打开登陆框分析抓包【图1-2】。

图1-1

图1-2

把打开的源代码页面地址栏中的 view-source:删除即可打开以下页面【图1-3】：

图1-3

点击「密码登录」切换到密码登录页面，接下来用错误的账号密码登陆一波，可以看到如下的包【图1-4】，不过通过上面的 publickey 隐隐猜到这里的加密参数可能和 RSA 有关，先来找找密码加密的位置：

图1-4

照常搜索一下 enpassword ，预料之中是没有搜索到有用的结果【图1-5】，不过定位元素可以通过 name 定位也可以通过 class 定位，所以同样试试 J_RsaPsd，果然找到像样的文件了【图1-6】。

在这里插入图片描述

在打开的文件里检索J_RsaPsd，可以看到有3个相关的结果(熟悉加密的已经可以看出这里是 RSA 加密)，我们通过把所有相关的结果都打上断点【图1-6】，并通过重新发起一次登录请求，来判断哪个J_RsaPsd是密码的加密逻辑。

在这里插入图片描述

通过重新发起请求，断点断在 333 行【图1-8】。

在这里插入图片描述

我们先复制整段代码：

c.setPublic(a.result.modulus, a.result.publicExponent);

var d = c.encrypt(b.val());

b.siblings(“.J_RsaPsd”).val(d)

我们通过控制台看看这些参数分别是什么【图1-9】。

在这里插入图片描述

通过前文抓包和JS页面的代码，我们判断密码的加密是RSA加密，所以我们就需要找齐RSA加密的需要的几个要素，比如他的公钥，因为RSA是非对称加密本地使用公钥加密，服务器上使用私钥解密。再看看【图1-8】上的几个参数不知道你们有没想起开头【图1-4】我提及的那条抓包。我们切换到控制台-Network 看看【图1-10】。

在这里插入图片描述

{“status”:2000,“message”:“”,“header”:{},“result”:{“publicExponent”:“010001”,“modulus”:“00833c4af965ff7a8409f8b5d5a83d87f2f19d7c1eb40dc59a98d2346cbb145046b2c6facc25b5cc363443f0f7ebd9524b7c1e1917bf7d849212339f6c1d3711b115ecb20f0c89fc2182a985ea28cbb4adf6a321ff7e715ba9b8d7261d1c140485df3b705247a70c28c9068caabbedbf9510dada6d13d99e57642b853a73406817”}}

是不是和我们在【图1-9】中打印出来的数值完全相同

tip : 这里的b.val()是我输入的错误密码。

这里我们找齐了加密需要的参数，其实我觉得没必要扣JS，但是我知道。。

不要我觉得，你要你觉得

在这里插入图片描述

所以偷懒用之前扣的代码测试一下：

-----------此处省略500行-----------

function bodyRSA()

{

最后

Python崛起并且风靡，因为优点多、应用领域广、被大牛们认可。学习 Python 门槛很低，但它的晋级路线很多，通过它你能进入机器学习、数据挖掘、大数据，CS等更加高级的领域。Python可以做网络应用，可以做科学计算，数据分析，可以做网络爬虫，可以做机器学习、自然语言处理、可以写游戏、可以做桌面应用…Python可以做的很多，你需要学好基础，再选择明确的方向。这里给大家分享一份全套的 Python 学习资料，给那些想学习 Python 的小伙伴们一点帮助！