X-Bogus流程分析

置顶 `Jay

已于 2023-02-01 14:50:50 修改

阅读量7.4k

点赞数 9

分类专栏： JS逆向文章标签： python 爬虫

于 2023-01-30 17:02:25 首次发布

本文链接：https://blog.csdn.net/weixin_47115747/article/details/128805470

版权

JS逆向专栏收录该内容

12 篇文章 21 订阅

订阅专栏

声明：本文仅限学习交流使用，禁止用于非法用途、商业活动等。否则后果自负。如有侵权，请告知删除，谢谢！本教程也没有专门针对某个网站而编写，单纯的技术研究

一、混淆还原

二、插桩还原

三、还原X-Bogus

一、混淆还原

1.先跟栈，看看X-Bogus怎么生成的

2.使用v_jstools插件还原混淆，git地址: https://github.com/cilame/v_jstools

3.替换JS，文件路径可以在桌面上创建一个，替换完成基本JS就能看了

二、插桩还原

1.覆盖本地JS之后呢，栈变量名也变了，下断点

2.刚开始没有生成X-Bogus，单步跟

3.多跟几次发现A是跳转索引，O是加密结果，插桩两个for循环处，182与409

console.log(`索引: ${A}, 值：${JSON.stringify(O, function(key, value) {if (value == window) {return undefined} return value})}`);

4.打印的日志也挺多的大概几万行，搜一下结果加密值

5.往上找日志，发现一处可疑的地方，通过两个值(具体多少个不知道先断点)生成的 "D"

6.下断点，A索引如果是460就停住

7.然后"X-Bogus"出现了，放开再看，之后就出现了一串类似md5，往上找日志是在索引134的时候生成的，下断点132（为什么132因为134已经生成了，看上一步怎么生成的）单步跟看看是什么东西

8.断上之后，单走就能发现是md5加密了请求URL的路由，你以为这样就完了？还没有单步跟，之后就发现了重点将md5字符串转成了数组，都断点上

9.最后本来想还原一下算法发现又断上132了进来一看好家伙又md5一次，套娃*1，现在数组也拿到了继续跟，头疼，最后还有一串字符串”d41d8cd98f00b204e9800998ecf8427e“不知道什么东西刷新发现不变，先凉着反正跟这套流程一样不打紧

let md5 = require("md5");
let Array = [null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, 0, 1, 2, 3, 4, 5, 6, 7, 8, 9, null, null, null, null,
    null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, null, 10, 11, 12, 13, 14, 15];

function md5_str_to_array(a) {
    let array = [];
    for (let idx = 0; idx < a.length;) {
        array.push(Array[a.charCodeAt(idx++)] << 4 | Array[a.charCodeAt(idx++)])
    }
    return array;
}

function encrypt(url_path) {
    return md5_str_to_array(md5(md5_str_to_array(md5(url_path))));
}

console.log(encrypt("device_platform=webapp&aid=6383&channel=channel_pc_web&sec_user_id=MS4wLjABAAAA6hGmDnaFyeR9iKX1hVsWK8JRimRzwi9ilHV824AmOHk&max_cursor=1670591754000&locate_query=false&show_live_replay_strategy=1&count=10&publish_video_strategy_type=2&pc_client_type=1&version_code=170400&version_name=17.4.0&cookie_enabled=true&screen_width=1920&screen_height=1080&browser_language=zh-CN&browser_platform=Win32&browser_name=Chrome&browser_version=105.0.0.0&browser_online=true&engine_name=Blink&engine_version=105.0.0.0&os_name=Windows&os_version=10&cpu_core_num=6&device_memory=8&platform=PC&downlink=10&effective_type=4g&round_trip_time=50&webid=7182114934540060200&msToken=ZwASt-8IFiF8HQ2Ku-2ZgzZq1IsLRHncgNG5k8Qosw-1N6GFPnQLR3KAh0p3eJCXIpPPGat4GaZ5l3nROYhExs7CWf6Jc1jkqXp0fTV_T6neCWqq-hBAAiZwsFvapg=="))