宣告
本文章中所有內容僅供學習交流，抓包內容、敏感網址、資料介面均已做脫敏處理，嚴禁用于商業用途和非法用途，否則由此產生的一切后果均與作者無關，若有侵權，請聯系我立即洗掉！
本文章未經許可禁止轉載，禁止任何修改后二次傳播，擅自使用本文講解的技術而導致的任何意外，作者均不負責，若有侵權，請在公眾號【K哥爬蟲】聯系作者立即洗掉！
逆向目標
- 目標：某驗四代滑塊驗證碼，w 引數逆向
- 主頁：
aHR0cHM6Ly9ndDQuZ2VldGVzdC5jb20v - 加密演算法：RSA、AES
通訊流程
驗證碼流程分析
進入網頁后，打開開發者人員工具進行抓包，點擊滑動拼圖驗證，此時還未點擊按鈕開始驗證，抓到了一個名為 load?captcha_id=xxx 的包，Query String Parameters 包含了一些引數：
captcha_id：驗證碼 id，固定值，由adaptive-captcha-demo.js檔案生成，后文分析；challenge：動態變化，由gtc4.js檔案生成，后文分析；client_type：表示 web 端；risk_type：驗證碼型別，例如滑塊為 slide，無感為 ai；lang：語言；callback：geetest_ + 時間戳，主要作用是防止快取，
回應預覽中回傳的關鍵內容如下，相較于三代，底圖未做混淆：
bg：背景圖片地址；captcha_type：驗證碼型別；gct_path：gct4 檔案路徑；lot_number：后續生成 pow_msg、w 的關鍵引數；payload：后續 verify 請求介面需要的引數；datetime：ISO 8601擴展格式的日期，后續生成 pow_msg 的關鍵引數；process_token：后續 verify 請求介面需要的引數；slice：滑塊圖片地址，
點擊按鈕開始驗證，彈出滑塊驗證碼，滑動滑塊，抓包到 verify?captcha_id=xxx，Query String Parameters 同樣包含了一些引數：
captcha_id：與 load 介面請求頭中的 captcha_id 一致；client_type：表示 web 端；lot_number：load 介面回傳的；risk_type：與 load 介面中的一致，表示驗證碼型別；payload：load 介面回傳的；process_token：load 介面回傳的；w：加密引數，由軌跡、滑動時間、滑動距離、userresponse、device_id、pow_msg 等引數加密得到；callback：geetest_ + 時間戳，主要作用是防止快取，
回應預覽中回傳的內容如下，result 值為 fail 即校驗失敗，success 為校驗通過，通過后攜帶 seccode 下的引數進行后續業務請求：
逆向分析
captcha_id 引數
全域搜索 captcha_id，跟進到 gt4.js 檔案中：
進去后在第 307 行打上斷點，重繪頁面即會斷住，此時 captcha_id 引數的值已經生成，同時 challenge 引數定義在下一行：
向上跟堆疊到 value，即 adaptive-captcha-demo.js 檔案中，會發現其是個固定值，實際上這個值是每個網站不一樣，是管理員在極驗后臺申請得到的：
challenge 引數
前面提到，challenge 引數定義在 captcha_id 引數的下一行，在 gt4.js 檔案的第 309 行打下斷點：
可以看到，challenge 引數的值由 uuid 函式生成，扣出即可，
w 引數
從 verify?captcha_id=xxx 介面的堆疊處跟堆疊進去：
打下斷點滑動滑塊斷住后，向上跟堆疊到 s 處，如果做過某驗三代滑塊的話，第 6249 行有個很熟悉的東西，"\u0077": r，"\u0077" 即字母 w 的 Unicode 值，r 即 w 引數的值：
r 引數定義在第 6237 行，e 也是跟三代類似的引數，r 是將 i 引數和轉為字串的 e 引數加密得到的：
向上跟堆疊，找到 e 引數中各部分定義生成的位置，跟到 $_BHIH 中，_ 中先生成了四個鍵值對：
passtime 和 track 是熟悉的滑動時間和軌跡，setLeft 為識別出來的缺口距離，userresponse 定義在 19593 行， a 為 setLeft 引數的值，t[$_GDFCG(1909)] 為定值 1.0059466666666665：
a / t[$_GDFCG(1909)] + 2
接著跟到 $_BCFj 中，e 定義在第 6201 行，下面幾行定義了 e 中的 device_id、lot_number、pow_msg、pow_sign：
device_id 同一個網站是固定值，lot_number 是 load 回應回傳的，控制臺列印一下 pow_msg、pow_sign 的結果：
pow_msg 很明顯是由幾部分組成的，pow_sign 經過加密，向上跟堆疊到 init 中，分別定義在第 5837 行和第 5838 行，為 d 字典的鍵，根據鍵名取值：
d 定義在第 5835 行，這部分還原一下就很明顯了：
var c = t["toDataURL"]()["replace"]("data:image/png;base64,", "")
, _ = new w["default"]["MD5"]()["hex"](c);
a["options"]["deviceId"] = _;
var h = a["options"]
, l = h["powDetail"]
, p = h["lotNumber"]
, f = h["captchaId"]
, d = v["default"](p, f, l["hashfunc"], l["version"], l["bits"], l["datetime"], "")
跟進到 v["default"] 中，函式定義在第 6945 行，于 6978 行打下斷點：
pow_msg 由 _ + h 得到，_ 定義在第 6960 行：
_ = i + "|" + r + "|" + n + "|" + s + "|" + t + "|" + e + "|" + o + "|";
- i：
l["version"] - r：
l["bits"] - n：
l["hashfunc"] - s：
l["datetime"] - t：
f, h["captchaId"] - e：
p, h["lotNumber"] - o：
""
h 定義在第 6269 行，跟進去是 16 位亂數字串，pow_sign 為 p，就是 pow_msg 經過 MD5 加密得到的：
至此這四個也分析完了，還差以下這部分：
em 等定值就不分析了，注意 kqg5："1557244628"，這個引數值和三代滑塊中一樣，每隔幾個小時會改變，向上跟堆疊到 $_BCFj 中，在第 6207 行打下斷點，此時 e 中這個值還未生成：
下一行打下斷點，下步斷點，即執行完 n[$_CBHIE(791)](e); 后，這個引數值就生成了，證明是 n[$_CBHIE(791)] 方法生成的，跟進去：
跳轉到第 5766 行，在第 5779 行打下斷點，此時的 n 中還未生成此引數：
執行了 _gct(n) 后即生成：
可見其生成位置在 _gct 方法中，跟進去后到 gct4.js 檔案，和三代大差不差：
可以將值匯出，至此 e 就分析完了，接著回到第 6238 行，跟進到加密函式 d[$_CBHHO(84)] 中，定義在第 11669 行，d[$_DIEHS(177)](c) + u 即 r 引數的值，c 為一個大陣列，u 明顯也經過加密了，所以 r 引數的值就是陣列 c 加密后再加上 u 得到的：
先跟進到 u，其定義在第 11705 行，解混淆后如下：
u = new l["default"]()["encrypt"](i);
所以 u 是 i 經過加密后得到的，i 定義在第 11702 行：
i = (0,d[$_DIEIq(103)])()
跟進到 d[$_DIEIq(103)] 中，定義在第 852 行，又是熟悉的 16 位亂數：
i 是亂數，跟進到加密函式 l[($_DIEHS(84))] 中，在第 12725 行，于 12741 行打下斷點，可以看到這里就是個 RSA 加密，扣代碼或者直接引庫即可：
回到 c 引數，c 引數的值為一個大陣列，其定義在第 11705 行，解混淆后內容如下：
var c = s[a]["symmetrical"]["encrypt"](e, i);
e 之前分析完了，i 為亂數，兩個引數已經分析完了，跟進到加密方法中，在第 12174 行，于 12186 行打下斷點，控制臺列印一下混淆部分內容，很熟悉的東西，這里就是 AES 加密，iv 為初始向量，加密模式為 CBC，對各類加密演算法不熟悉的，可以閱讀 K 哥文章 【爬蟲知識】爬蟲常見加密解密演算法：
c 引數最后又被 d[$_DIEHS(177)] 函式加密，跟進后，定義在第 547 行，直接扣下來改改即可：
結果驗證
轉載請註明出處，本文鏈接：https://www.uj5u.com/houduan/541243.html
標籤：Python
上一篇：用Python來做一個簡單的學生管理系統（附原始碼）
下一篇：可迭代物件以及迭代器的說明