Roufsi的博客

一个不走浏览器、纯协议拿到某追剧站免费剧真实播放地址并下载的实战记录。从请求头 x-ca-sign 的 HmacSHA256 签名串复原,到响应体 AES-128-ECB 解密,再到"播放地址藏在 watchInfo 而非 sortedItems"的二次 AES-128-CBC 解密(key 还藏在响应的 newSign 字段里),最后死磕 CDN 边缘节点那道"token 按 IP 绑定"的 403——本文把每一关怎么找到、怎么验证、怎么写成可跑的代码,一步步讲清楚。所有站点名称、域名、链接均以「某站」脱

本文记录了一个Web端瑞数挑战还原案例的分析过程。案例涉及两层防护机制：瑞数挑战层生成会话Cookie，以及业务接口层的请求签名验证。通过Node.js环境模拟浏览器行为，使用undici、tough-cookie等工具完成协议复现。重点分析了412挑战页特征识别、DOM环境执行挑战脚本、Cookie导入校验等关键步骤，并介绍了业务接口签名规则的定位方法。案例展示了如何在不依赖浏览器自动化的情况下，通过最小协议复现解决Web防护机制问题。