JS调试分析g_tk参数加密过程
经过对目标网站(腾讯广点通后台,https://e.qq.com/ads/)的分析,最终得出,只有g_tk这一个参数是无法从数据源拿到。那就需要对js调试,看看到底是那里生成的g_tk参数。。
![在这里插入图片描述](https://img-blog.csdnimg.cn/20200819101040256.jpg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NjkxNzk3OA==,size_16,color_FFFFFF,t_70#pic_center)
通过对源码加载js搜索可以得到很多处都进行g_tk 参数拼接,下图所示相对看的比较明显且好理解。。
![在这里插入图片描述](https://img-blog.csdnimg.cn/2020081910164166.jpg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NjkxNzk3OA==,size_16,color_FFFFFF,t_70#pic_center)
由此可以分析,g_tk参数生成是由 l[“default”].getACSRFToken() 这一步操作得出的。。进一步搜索getACSRFToken() 函数,得到如下图所示: