加速乐-AAencode-ob混淆

加速乐-AAencode-ob混淆-多层响应 Cookie 逆向

前言
本次案例是对加速乐、AAEncode、OB 混淆方式的破解，破解出多层响应 Cookie 逆向。

声明
本文章中所有内容仅供学习交流，相关链接做了脱敏处理，若有侵权，请联系我立即删除！

目标
1.了解加速乐反爬特点。
加速乐反爬特点：

第一次请求网站，响应状态码为 521，服务器返回的 Set-Cookie 中携带 jsluid_s 参数；

第二次请求网站，响应状态码仍为 521，Cookie 中携带 jsl_clearance_s 参数；

第三次请求网站，响应状态码 200，即可正常访问到网页内容。

下图所示，为加速乐的基本样式，521 为其明显特征，其他地方几乎看不到这个状态码：

2.了解AAencode混淆特点。
主要是把js代码转成常用的网络表情。

('_')+('_')+('j')+('s')+('l')+('_')+('c')+('l')+('e')+('a')+('r')+('a')+('n')+('c')+('e')+('_')+('s')+('=')+(-~[]+'')+((1+[2])/[2]+'')+(-~[7]+'')+((1|2)+'')+((2<<1)+'')+(1+1+'')+(-~false+'')+((1+[4]>>1)+'')+(~~[]+'')+((2<<2)+'')+('.')+(2+3+'')+(-~[7]+'')+(-~(4)+'')+('|')+('-')+(-~[]+'')+('|')+('B')+('d')+('k')+('C')+('E')+('e')+('j')+('n')+('F')+('j')+('v')+('t')+('Q')+('G')+('%')+(+!+[]*2+'')+('B')+('d')+('A')+('%')+(2+'')+('F')+('n')+('N')+('t')+('T')+('i')+('f')+('k')+('C')+('s')+('%')+((1|2)+'')+('D')+(';')+('m')+('a')+('x')+('-')+('a')+('g')+('e')+('=')+(1+2+'')+((1+[2])/[2]+'')+(~~{
   }+'')+(~~{
   }+'')+(';')+('p')+('a')+('t')+('h')+('=')+('/')

3.了解ob混淆特点。（可以参考这篇文章：AST实战|手把手教你还原ob混淆:ob混淆代码特征）
特征一: 大数组 + 移位自执行函数 + 解密字符串函数。
特征二: 定义的Object，其key和value很有规律
特征三: while + switch 组合
特征四: 一些干扰调试的垃圾代码

案例分析
目标网址：aHR0cHM6Ly93d3cuY252ZC5vcmcuY24=

逆向分析-------使用 Fiddler 对目标网站进行抓包分析

第一步：
注意：在抓包之前需要先清楚浏览器中的cookie信息，

打开Fiddler ，刷新网站后对目标网站进行标记，便于查找到目标网站

查看第一个 521，看到返回的响应内容是一堆很有意思的颜表情符，这是典型的 AAEncode 加密方式的特点，并且 Set-Cookie 中携带了 jsluid_s 参数：

查看第二个521，看到返回的响应内容是典型的经过了 OB 混淆加密的，并且Cookie 中多了一个参数 jsl_clearance_s，我们可以推测该参数就是此 JS 文件生成的：

第二步：得到两次请求后的jsl_clearance_s参数

根据第一次请求返回的内容，使用正则提取到 AAEncode 加密部分的内容，然后使用 execjs 模块的 eval 方法执行输出后就能得到 第一次的jsl_clearance_s参数的值。

<script>document.cookie=('_')+('_')+('j')+('s')+('l')+('_')+('c')+('l')+('e')+('a')+('r')+('a')+('n')+('c')+('e')+('_')+('s')+('=')+(-~[]+'')+((1+[2])/[2]+'')+(-~[7]+'')+((1|2)+'')+((2<<1)+'')+(1+1+'')+(-~false+'')+((1+[4]>>1)+'')+(~~[]+'')+((2<<2)+'')+('.')+(2+3+'')+(-~[7]+'')+(-~(4)+'')+('|')+('-')+(-~[]+'')+('|')+('B')+('d')+('k')+('C')+('E')+('e')+('j')+('n')+('F')+('j')+('v')+('t')+('Q')+('G')+('%')+(+!+[]*