置顶公众号
今天继续和大家研究JS逆向,不少小伙伴在JS逆向的时候遇到过无限debugger的反爬,今天就拿一个网站练练手感受下无限debugger。
分析请求
先打开这次的目标网站--淘大象(https://taodaxiang.com/credit2)
打开「开发者工具」就自动进入debug,我们先格式化看看能不能通过重写函数解决。
![5dfdb7d3df97e387874af549866647c0.png](https://i-blog.csdnimg.cn/blog_migrate/838395c8cbb2e2a07dcba4d3596539dd.jpeg)
显然不是很好解决,所以我们试试通过「条件断点」的方法绕过这个反爬。
我们在 3393 与 3395 行右键添加「Add Conditional breakpoint」并在出现的对话框中输入「false」,这个时候无限debbuger的反爬就被我们绕过了。
虽然这里很快就绕过了反爬但是「条件断点」有一定的局限性,这里推荐一篇文章以供学习,就不再赘述。
https://segmentfault.com/a/1190000012359015
解决完反爬措施,我们刷新页面查看页面请求,很快就定位到请求接口、加密参数等信息。
请求接口:
![185dcba275593a76e5c617e1134a1cea.png](https://i-blog.csdnimg.cn/blog_migrate/fc8aaeede385337e9d6480648388ec6b.jpeg)
加密参数 sign :
![a2fd04eff900e0767363b80372d60654.png](https://i-blog.csdnimg.cn/blog_migrate/afa34afd1c65f83b3240cabfb37eef53.jpeg)
定位加密位置
通过抓包请求我们定位到了接口和加密参数,我们试着通过搜索sign关键字定位一下加密位置。
![3a9fd06306f17e2a768c7f8e35ec5410.png](https://i-blog.csdnimg.cn/blog_migrate/e973ee154c7491c0c0cf395b268afcdf.jpeg)
通过搜索我们找到三个包含关键字的文件,通过检索文件,很快定位到了sign值加密的位置:
![a8cbdd7339639f837cb9a6b2927d5785.png](https://i-blog.csdnimg.cn/blog_migrate/fb69085bf5b24937cab7ce1580d70ee7.jpeg)
![460deb4dba2aa8a2628212988d1256bc.png](https://i-blog.csdnimg.cn/blog_migrate/94a94958510587bf0932927f527c935c.jpeg)
分析加密
很明显这个js文件经过一定程度的混淆,现在有两种方法解决:
一是直接扣代码,绕过debugger之后扣这个代码不要太简单。
二是通读加密,直接改写成python加密。
这个加密比较简单,整体是md5加密这点通过分析请求可以猜到,多次请求加密都不变,接下来就是分析是哪些字段加密成md5值。
这里比较明显的是js中的两段代码:
![a109d0f027fcc55744c1f0af21a36d64.png](https://i-blog.csdnimg.cn/blog_migrate/e4498f9d956e8d9596e275ab1c26bbfe.jpeg)
_0x2c114b['XDFEp']
这个方法是将字符串拼接
_0x2c114b['zANjZ']
这个方法是取字符串的MD5值
经过断点调试,发现最后字符串是由「查询的关键字」+ 「固定的key」+ 「查询的关键字」+ 「type参数值」拼接成的。
比对两种方式,通过python方法改写更加方便,主要代码如下:
from hashlib import md5
def md5value(s):
a = md5(s.encode()).hexdigest()
return a
到这里这次的分析的网站 -- 淘大象 就被我们攻克了,这次的网站加密不是很难,主要难点是分析请求时的无限debugger。
其实其他同类型的网站还有很多,我推荐大家阅读下面的文章,文章提到了其他解决debugger的方法希望对你有帮助。
推荐阅读:JS逆向 | JSF*ck,这个看着头大的加密其实很简单JS逆向 | 记一次翻车的练手经历Python爬虫进阶必备 | RSA 加密案例解析汇总(一)Python爬虫进阶必备 | 关于 AES 的案例分析与总结(一)Python爬虫进阶必备 | 关于AES 的案例分析与总结Python爬虫进阶必备 | MD5 hash 案例解析汇总(一)Python爬虫进阶必备 | 关于MD5 Hash 的案例分析与总结Python爬虫进阶必备 | XX同城加密分析Python爬虫进阶必备 | XX快药 sign 加密分析与加密逻辑复写Python爬虫进阶必备 | X笔网密码加密分析Python爬虫进阶必备 | X中网密码加密算法分析Python爬虫进阶必备 | 极X助手加密算法分析Python爬虫进阶必备 | X博密码算法扣取+如何去扣取一个完整的逆向案例Python爬虫进阶必备 | X天下与XX二手房密码加密分析Python爬虫进阶必备 | X咕视频密码与指纹加密分析
实战案例浅析JS加密 - 基础总结篇
实战案例浅析JS加密 - RSA与XXTEA
实战案例浅析JS加密(一) - DES与Base64