當(dāng)前位置：首頁(yè) > 前端技术 > javascript >内容正文

javascript

【JS 逆向百例】网洛者反爬练习平台第一题：JS 混淆加密，反 Hook 操作

發(fā)布時(shí)間：2023/12/10 javascript 65 豆豆

生活随笔收集整理的這篇文章主要介紹了【JS 逆向百例】网洛者反爬练习平台第一题：JS 混淆加密，反 Hook 操作小編覺得挺不錯(cuò)的,現(xiàn)在分享給大家,幫大家做個(gè)參考.

關(guān)注微信公眾號(hào)：K哥爬蟲，持續(xù)分享爬蟲進(jìn)階、JS/安卓逆向等技術(shù)干貨！

文章目錄

- 聲明
- 寫在前面
- 逆向目標(biāo)
- 繞過無(wú)限 debugger
- Hook 參數(shù)
- 逆向參數(shù)
- PyCharm 本地聯(lián)調(diào)
- 完整代碼
- - JavaScript 加密關(guān)鍵代碼架構(gòu)
  - Python 計(jì)算關(guān)鍵代碼

聲明

本文章中所有內(nèi)容僅供學(xué)習(xí)交流，抓包內(nèi)容、敏感網(wǎng)址、數(shù)據(jù)接口均已做脫敏處理，嚴(yán)禁用于商業(yè)用途和非法用途，否則由此產(chǎn)生的一切后果均與作者無(wú)關(guān)，若有侵權(quán)，請(qǐng)聯(lián)系我立即刪除！

寫在前面

題目本身不是很難，但是其中有很多坑，主要是反 Hook 操作和本地聯(lián)調(diào)補(bǔ)環(huán)境，本文會(huì)詳細(xì)介紹每一個(gè)坑，并不只是一筆帶過，寫得非常詳細(xì)！

通過本文你將學(xué)到：

Hook Function 和定時(shí)器來(lái)消除無(wú)限 debugger；

解決反 Hook，通過 Hook 的方式找到加密參數(shù) _signature；

分析瀏覽器與本地環(huán)境差異，如何尋找 navigator、document、location 等對(duì)象，如何本地補(bǔ)環(huán)境；

如何利用 PyCharm 進(jìn)行本地聯(lián)調(diào)，定位本地和瀏覽器環(huán)境的差異，從而過掉檢測(cè)。

逆向目標(biāo)

目標(biāo)：網(wǎng)洛者反反爬蟲練習(xí)平臺(tái)第一題：JS 混淆加密，反 Hook 操作
鏈接：http://spider.wangluozhe.com/challenge/1
簡(jiǎn)介：本題要提交的答案是100頁(yè)的所有數(shù)據(jù)并加和，要求以 Hook 的方式完成此題，不要以 AST、扣代碼等方式解決，不要使用 JS 反混淆工具進(jìn)行解密。（Hook 代碼的寫法和用法，K哥以前文章有，本文不再詳細(xì)介紹）

繞過無(wú)限 debugger

首先觀察到點(diǎn)擊翻頁(yè)，URL 并沒有發(fā)生變化，那么一般就是 Ajax 請(qǐng)求，每一次請(qǐng)求有些參數(shù)會(huì)改變，熟練的按下 F12 準(zhǔn)備查找加密參數(shù)，會(huì)發(fā)現(xiàn)立馬斷住，進(jìn)入無(wú)限 debugger 狀態(tài)，往上跟一個(gè)棧，可以發(fā)現(xiàn) debugger 字樣，如下圖所示：

這種情況在K哥以前的案例中也有，當(dāng)時(shí)我們是直接重寫這個(gè) JS，把 debugger 字樣給替換掉就行了，但是本題很顯然是希望我們以 Hook 的方法來(lái)過掉無(wú)限 debugger，除了 debugger 以外，我們注意到前面還有個(gè) constructor 字樣，在 JavaScript 中它叫構(gòu)造方法，一般在對(duì)象創(chuàng)建或者實(shí)例化時(shí)候被調(diào)用，它的基本語(yǔ)法是：constructor([arguments]) { ... }，詳細(xì)介紹可參考 MDN 構(gòu)造方法，在本案例中，很明顯 debugger 就是 constructor 的 arguments 參數(shù)，因此我們可以寫出以下 Hook 代碼來(lái)過掉無(wú)限 debugger：

// 先保留原 constructor Function.prototype.constructor_ = Function.prototype.constructor; Function.prototype.constructor = function (a) {// 如果參數(shù)為 debugger，就返回空方法if(a == "debugger") {return function (){};}// 如果參數(shù)不為 debugger，還是返回原方法return Function.prototype.constructor_(a); };

注入 Hook 代碼的方法也有很多，比如直接在瀏覽器開發(fā)者工具控制臺(tái)輸入代碼（刷新網(wǎng)頁(yè)會(huì)失效）、Fiddler 插件注入、油猴插件注入、自寫瀏覽器插件注入等，這些方法在K哥以前的文章都有介紹，今天就不再贅述。

本次我們使用 Fiddler 插件注入，注入以上 Hook 代碼后，會(huì)發(fā)現(xiàn)會(huì)再次進(jìn)入無(wú)限 debugger，setInterval，很明顯的定時(shí)器，他有兩個(gè)必須的參數(shù)，第一個(gè)是要執(zhí)行的方法，第二個(gè)是時(shí)間參數(shù)，即周期性調(diào)用方法的時(shí)間間隔，以毫秒為單位，詳細(xì)介紹可參考菜鳥教程 Window setInterval()，同樣我們也可以將其 Hook 掉：

// 先保留原定時(shí)器 var setInterval_ = setInterval setInterval = function (func, time){// 如果時(shí)間參數(shù)為 0x7d0，就返回空方法// 當(dāng)然也可以不判斷，直接返回空，有很多種寫法if(time == 0x7d0){return function () {};}// 如果時(shí)間參數(shù)不為 0x7d0，還是返回原方法return setInterval_(func, time) }

將兩段 Hook 代碼粘貼到瀏覽器插件里，開啟 Hook，重新刷新頁(yè)面就會(huì)發(fā)現(xiàn)已經(jīng)過掉了無(wú)限 debugger。

Hook 參數(shù)

過掉無(wú)限 debugger 后，我們隨便點(diǎn)擊一頁(yè)，抓包可以看到是個(gè) POST 請(qǐng)求，Form Data 里，page 是頁(yè)數(shù)，count 是每一頁(yè)數(shù)據(jù)量，_signature 是我們要逆向的參數(shù)，如下圖所示：

我們直接搜索 _signature，只有一個(gè)結(jié)果，其中有個(gè) window.get_sign() 方法就是設(shè)置 _signature 的函數(shù)，如下圖所示：

這里問題來(lái)了！！！我們?cè)倏纯幢绢}的題目，JS 混淆加密，反 Hook 操作，作者也再三強(qiáng)調(diào)本題是考驗(yàn) Hook 能力！并且到目前為止，我們好像還沒有遇到什么反 Hook 手段，所以，這樣直接搜索 _signature 很顯然太簡(jiǎn)單了，肯定是要通過 Hook 的方式來(lái)獲取 _signature，并且后續(xù)的 Hook 操作肯定不會(huì)一帆風(fēng)順！

話不多說，我們直接寫一個(gè) Hook window._signature 的代碼，如下所示：

將兩個(gè)繞過無(wú)限 debugger 的 Hook 代碼，和這個(gè) Hook _signature 的代碼一起，使用 Fiddler 插件一同注入（這里注意要把繞過 debugger 的代碼放在 Hook _signature 代碼的后面，否則有可能不起作用，這可能是插件的 BUG），重新刷新網(wǎng)頁(yè)，可以發(fā)現(xiàn)前端的一排頁(yè)面的按鈕不見了，打開開發(fā)者工具，可以看到右上角提示有兩個(gè)錯(cuò)誤，點(diǎn)擊可跳轉(zhuǎn)到出錯(cuò)的代碼，在控制臺(tái)也可以看到報(bào)錯(cuò)信息，如下圖所示：

整個(gè) 1.js 代碼是經(jīng)過了 sojson jsjiami v6 版本混淆了的，我們將里面的一些混淆代碼在控制臺(tái)輸出一下，然后手動(dòng)還原一下這段代碼，有兩個(gè)變量 i1I1i1li 和 illllli1，看起來(lái)費(fèi)勁，直接用 a 和 b 代替，如下所示：

(function() {'use strict';var a = '';Object["defineProperty"](window, "_signature", {set: function(b) {a = b;return b;},get: function() {return a;}}); }());

是不是很熟悉？有 get 和 set 方法，這不就是在進(jìn)行 Hook window._signature 操作嗎？整個(gè)邏輯就是當(dāng) set 方法設(shè)置 _signature 時(shí)，將其賦值給 a，get 方法獲取 _signature 時(shí)，返回 a，這么操作一番，實(shí)際上對(duì)于 _signature 沒有任何影響，那這段代碼存在的意義是啥？為什么我們添加了自己的 Hook 代碼就會(huì)報(bào)錯(cuò)？

來(lái)看看報(bào)錯(cuò)信息：Uncaught TypeError: Cannot redefine property: _signature，不能重新定義 _signature？我們的 Hook 代碼在頁(yè)面一加載就運(yùn)行了 Object.defineProperty(window, '_signature', {})，等到網(wǎng)站的 JS 再次 defineProperty 時(shí)就會(huì)報(bào)錯(cuò)，那很簡(jiǎn)單嘛，既然不讓重新定義，而且網(wǎng)站自己的 JS Hook 代碼不會(huì)影響 _signature，直接將其刪掉不就行了嘛！這個(gè)地方大概就是反 Hook 操作了。

保存原 1.js 到本地，刪除其 Hook 代碼，使用 Fiddler 的 AutoResponder 功能替換響應(yīng)（替換方法有很多，K哥以前的文章同樣有介紹），再次刷新發(fā)現(xiàn)異常解除，并且成功 Hook 到了 _signature。

逆向參數(shù)

成功 Hook 之后，直接跟棧，直接把方法暴露出來(lái)了：window._signature = window.byted_acrawler(window.sign())

先來(lái)看看 window.sign()，選中它其實(shí)就可以看到是 13 位毫秒級(jí)時(shí)間戳，我們跟進(jìn) 1.js 去看看他的實(shí)現(xiàn)代碼：

我們將部分混淆代碼手動(dòng)還原一下：

window["sign"] = function sign() {try {div = document["createElement"];return Date["parse"](new Date())["toString"]();} catch (IIl1lI1i) {return "123456789abcdefghigklmnopqrstuvwxyz";} }

這里就要注意了，有個(gè)坑給我們埋下了，如果直接略過，覺得就一個(gè)時(shí)間戳沒啥好看的，那你就大錯(cuò)特錯(cuò)了！注意這是一個(gè) try-catch 語(yǔ)句，其中有一句 div = document["createElement"];，有一個(gè) HTML DOM Document 對(duì)象，創(chuàng)建了 div 標(biāo)簽，這段代碼如果放到瀏覽器執(zhí)行，沒有任何問題，直接走 try 語(yǔ)句，返回時(shí)間戳，如果在我們本地 node 執(zhí)行，就會(huì)捕獲到 document is not defined，然后走 catch 語(yǔ)句，返回的是那一串?dāng)?shù)字加字母，最后的結(jié)果肯定是不正確的！

解決方法也很簡(jiǎn)單，在本地代碼里，要么去掉 try-catch 語(yǔ)句，直接 return 時(shí)間戳，要么在開頭定義一下 document，再或者直接注釋掉創(chuàng)建 div 標(biāo)簽的這行代碼，但是K哥在這里推薦直接定義一下 document，因?yàn)檎l(shuí)能保證在其他地方也有類似的坑呢？萬(wàn)一隱藏得很深，沒發(fā)現(xiàn)，豈不是白費(fèi)力氣了？

然后再來(lái)看看 window.byted_acrawler()，return 語(yǔ)句里主要用到了 sign() 也就是 window.sign() 方法和 IIl1llI1() 方法，我們跟進(jìn) IIl1llI1() 方法可以看到同樣使用了 try-catch 語(yǔ)句，nav = navigator[liIIIi11('2b')]; 和前面 div 的情況如出一轍，同樣的這里也建議直接定義一下 navigator，如下圖所示：

到這里用到的方法基本上分析完畢，我們將 window、document、navigator 都定義一下后，本地運(yùn)行一下，會(huì)提示 window[liIIIi11(...)] is not a function：

我們?nèi)ゾW(wǎng)頁(yè)里看看，會(huì)發(fā)現(xiàn)這個(gè)方法其實(shí)就是一個(gè)定時(shí)器，沒有太大作用，直接注釋掉即可：

PyCharm 本地聯(lián)調(diào)

經(jīng)過以上操作以后，再次本地運(yùn)行，會(huì)提示 window.signs is not a function，出錯(cuò)的地方是一個(gè) eval 語(yǔ)句，我們?nèi)g覽器看一下這個(gè) eval 語(yǔ)句，發(fā)現(xiàn)明明是 window.sign()，為什么本地就變成了 window.signs()，平白無(wú)故多了個(gè) s 呢？

造成這種情況的原因只有一個(gè)，那就是本地與瀏覽器的環(huán)境差異，混淆的代碼里肯定有環(huán)境檢測(cè)，如果不是瀏覽器環(huán)境的話，就會(huì)修改 eval 里的代碼，多加了一個(gè) s，這里如果你直接刪掉包含 eval 語(yǔ)句的整個(gè)函數(shù)和上面的 setInterval 定時(shí)器，代碼也能正常運(yùn)行，但是，K哥一向是追求細(xì)節(jié)的！多加個(gè) s 的原因咱必須得搞清楚呀！

我們?cè)诒镜厥褂?PyCharm 進(jìn)行調(diào)試，看看到底是哪里給加了個(gè) s，出錯(cuò)的地方是這個(gè) eval 語(yǔ)句，我們點(diǎn)擊這一行，下個(gè)斷點(diǎn)，右鍵 debug 運(yùn)行，進(jìn)入調(diào)試界面（PS：原代碼有無(wú)限 debugger，如果不做處理，PyCharm 里調(diào)試同樣也會(huì)進(jìn)入無(wú)限 debugger，可以直接把前面的 Hook 代碼加到本地代碼前面，也可以直接刪除對(duì)應(yīng)的函數(shù)或變量）：

左側(cè)是調(diào)用棧，右側(cè)是變量值，整體上和 Chrome 里面的開發(fā)者工具差不多，詳細(xì)用法可參考 JetBrains 官方文檔，主要介紹一下圖中的 8 個(gè)按鈕：

Show Execution Point (Alt + F10)：如果你的光標(biāo)在其它行或其它頁(yè)面，點(diǎn)擊這個(gè)按鈕可跳轉(zhuǎn)到當(dāng)前斷點(diǎn)所在的行；

Step Over (F8)：步過，一行一行地往下走，如果這一行上有方法也不會(huì)進(jìn)入方法；

Step Into (F7)：步入，如果當(dāng)前行有方法，可以進(jìn)入方法內(nèi)部，一般用于進(jìn)入用戶編寫的自定義方法內(nèi)，不會(huì)進(jìn)入官方類庫(kù)的方法；

Force Step Into (Alt + Shift + F7)：強(qiáng)制步入，能進(jìn)入任何方法，查看底層源碼的時(shí)候可以用這個(gè)進(jìn)入官方類庫(kù)的方法；

Step Out (Shift + F8)：步出，從步入的方法內(nèi)退出到方法調(diào)用處，此時(shí)方法已執(zhí)行完畢，只是還沒有完成賦值；

Restart Frame：放棄當(dāng)前斷點(diǎn)，重新執(zhí)行斷點(diǎn)；

Run to Cursor (Alt + F9)：運(yùn)行到光標(biāo)處，代碼會(huì)運(yùn)行至光標(biāo)行，不需要打斷點(diǎn)；

Evaluate Expression (Alt + F8)：計(jì)算表達(dá)式，可以直接運(yùn)行表達(dá)式，不需要在命令行輸入。

我們點(diǎn)擊步入按鈕（Step Into），會(huì)進(jìn)入到 function IIlIliii()，這里同樣使用了 try-catch 語(yǔ)句，繼續(xù)下一步，會(huì)發(fā)現(xiàn)捕獲到了異常，提示 Cannot read property 'location' of undefined，如下圖所示：

我們輸出一下各個(gè)變量的值，手動(dòng)還原一下代碼，如下：

這么一來(lái)，就發(fā)現(xiàn)了端倪，在本地我們并沒有 document、location、href、availHeight 對(duì)象，所以就會(huì)走 catch 語(yǔ)句，變成了 window.signs()，就會(huì)報(bào)錯(cuò)，這里解決方法也很簡(jiǎn)單，可以直接刪掉多余代碼，直接定義為不帶 s 的那串語(yǔ)句，或者也可以選擇補(bǔ)一下環(huán)境，在瀏覽器里看一下 href 和 screen 的值，定義一下即可：

var window = {"document": {"location": {"href": "http://spider.wangluozhe.com/challenge/1"}}, }var screen = {"availHeight": 1040 }

然后再次運(yùn)行，又會(huì)提示 sign is not defined，這里的 sign() 其實(shí)就是 window.sign()，也就是下面的 window[liIIIi11('a')] 方法，任意改一種寫法即可：

再次運(yùn)行，沒有錯(cuò)誤了，我們可以自己寫一個(gè)方法來(lái)獲取 _signature：以下寫法二選一，都可以：

function getSign(){return window[liIIIi11('9')](window[liIIIi11('a')]()) }function getSign(){return window.byted_acrawler(window.sign()) }// 測(cè)試輸出 console.log(getSign())

我們運(yùn)行一下，發(fā)現(xiàn)在 Pycharm 里并沒有任何輸出，同樣的我們?cè)陬}目頁(yè)面的控制臺(tái)輸出一下 console.log，發(fā)現(xiàn)被置空了，如下圖所示：

看來(lái)他還對(duì) console.log 做了處理，其實(shí)這種情況問題不大，我們直接使用 Python 腳本來(lái)調(diào)用前面我們寫的 getSign() 方法就能得到 _signature 的值了，但是，再次重申，K哥一向是追求細(xì)節(jié)的！我就得找到處理 console.log 的地方，把它變?yōu)檎?#xff01;

這里我們?nèi)匀皇褂?Pycharm 來(lái)調(diào)試，進(jìn)一步熟悉本地聯(lián)調(diào)，在 console.log(getSign()) 語(yǔ)句處下個(gè)斷點(diǎn)，一步一步跟進(jìn)，會(huì)發(fā)現(xiàn)進(jìn)到了語(yǔ)句 var IlII1li1 = function() {};，查看此時(shí)變量值，發(fā)現(xiàn) console.log、console.warn 等方法都被置空了，如下圖所示：

再往下一步跟進(jìn)，發(fā)現(xiàn)直接返回了，這里有可能第一次運(yùn)行 JS 時(shí)就會(huì)對(duì) console 相關(guān)命令進(jìn)行方法置空處理，所以先在疑似對(duì) console 處理的方法里面下幾個(gè)斷點(diǎn)，再重新調(diào)試，會(huì)發(fā)現(xiàn)會(huì)走到 else 語(yǔ)句，然后直接將 IlII1li1 也就是空方法，賦值給 console 相關(guān)命令，如下圖所示：

定位到了問題所在，我們直接把 if-else 語(yǔ)句注釋掉，不讓它置空即可，然后再次調(diào)試，發(fā)現(xiàn)就可以直接輸出結(jié)果了：

調(diào)用 Python 攜帶 _signature 挨個(gè)計(jì)算每一頁(yè)的數(shù)據(jù)，最終提交成功：

完整代碼

GitHub 關(guān)注 K 哥爬蟲，持續(xù)分享爬蟲相關(guān)代碼！歡迎 star ！https://github.com/kgepachong/

**以下只演示部分關(guān)鍵代碼，不能直接運(yùn)行！**完整代碼倉(cāng)庫(kù)地址：https://github.com/kgepachong/crawler/

JavaScript 加密關(guān)鍵代碼架構(gòu)

Python 計(jì)算關(guān)鍵代碼

# ================================== # --*-- coding: utf-8 --*-- # @Time : 2021-12-01 # @Author : 微信公眾號(hào)：K哥爬蟲 # @FileName: challenge_1.py # @Software: PyCharm # ==================================import execjs import requestschallenge_api = "http://spider.wangluozhe.com/challenge/api/1" headers = {"Content-Type": "application/x-www-form-urlencoded; charset=UTF-8","Cookie": "將 cookie 值改為你自己的！","Host": "spider.wangluozhe.com","Origin": "http://spider.wangluozhe.com","Referer": "http://spider.wangluozhe.com/challenge/1","User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/96.0.4664.45 Safari/537.36","X-Requested-With": "XMLHttpRequest" }def get_signature():with open('challenge_1.js', 'r', encoding='utf-8') as f:ppdai_js = execjs.compile(f.read())signature = ppdai_js.call("getSign")print("signature: ", signature)return signaturedef main():result = 0for page in range(1, 101):data = {"page": page,"count": 10,"_signature": get_signature()}response = requests.post(url=challenge_api, headers=headers, data=data).json()for d in response["data"]:result += d["value"]print("結(jié)果為: ", result)if __name__ == '__main__':main()

總結(jié)

以上是生活随笔為你收集整理的【JS 逆向百例】网洛者反爬练习平台第一题：JS 混淆加密，反 Hook 操作的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。

上一篇：【Python CheckiO 题解】T
下一篇： Spring Boot 常用注解