置頂公眾號

今天繼續和大家研究JS逆向，不少小伙伴在JS逆向的時候遇到過無限debugger的反爬，今天就拿一個網站練練手感受下無限debugger。

分析請求

先打開這次的目標網站--淘大象(https://taodaxiang.com/credit2)

打開「開發者工具」就自動進入debug，我們先格式化看看能不能通過重寫函數解決。

顯然不是很好解決，所以我們試試通過「條件斷點」的方法繞過這個反爬。

我們在 3393 與 3395 行右鍵添加「Add Conditional breakpoint」并在出現的對話框中輸入「false」，這個時候無限debbuger的反爬就被我們繞過了。

雖然這里很快就繞過了反爬但是「條件斷點」有一定的局限性,這里推薦一篇文章以供學習，就不再贅述。

https://segmentfault.com/a/1190000012359015

解決完反爬措施，我們刷新頁面查看頁面請求,很快就定位到請求接口、加密參數等信息。

請求接口:

加密參數 sign :

定位加密位置

通過抓包請求我們定位到了接口和加密參數,我們試著通過搜索sign關鍵字定位一下加密位置。

通過搜索我們找到三個包含關鍵字的文件,通過檢索文件,很快定位到了sign值加密的位置:

分析加密

很明顯這個js文件經過一定程度的混淆,現在有兩種方法解決:

一是直接扣代碼，繞過debugger之后扣這個代碼不要太簡單。

二是通讀加密,直接改寫成python加密。

這個加密比較簡單,整體是md5加密這點通過分析請求可以猜到,多次請求加密都不變,接下來就是分析是哪些字段加密成md5值。

這里比較明顯的是js中的兩段代碼:

_0x2c114b['XDFEp']這個方法是將字符串拼接

_0x2c114b['zANjZ']這個方法是取字符串的MD5值

經過斷點調試，發現最后字符串是由「查詢的關鍵字」+ 「固定的key」+ 「查詢的關鍵字」+ 「type參數值」拼接成的。

比對兩種方式,通過python方法改寫更加方便,主要代碼如下:

from hashlib import md5def md5value(s): a = md5(s.encode()).hexdigest() return a

到這里這次的分析的網站 -- 淘大象 就被我們攻克了，這次的網站加密不是很難,主要難點是分析請求時的無限debugger。

其實其他同類型的網站還有很多,我推薦大家閱讀下面的文章，文章提到了其他解決debugger的方法希望對你有幫助。

推薦閱讀：JS逆向 | JSF*ck，這個看著頭大的加密其實很簡單JS逆向 | 記一次翻車的練手經歷Python爬蟲進階必備 | RSA 加密案例解析匯總(一)Python爬蟲進階必備 | 關于 AES 的案例分析與總結(一)Python爬蟲進階必備 | 關于AES 的案例分析與總結Python爬蟲進階必備 | MD5 hash 案例解析匯總(一)Python爬蟲進階必備 | 關于MD5 Hash 的案例分析與總結Python爬蟲進階必備 | XX同城加密分析Python爬蟲進階必備 | XX快藥 sign 加密分析與加密邏輯復寫Python爬蟲進階必備 | X筆網密碼加密分析Python爬蟲進階必備 | X中網密碼加密算法分析Python爬蟲進階必備 | 極X助手加密算法分析Python爬蟲進階必備 | X博密碼算法扣取+如何去扣取一個完整的逆向案例Python爬蟲進階必備 | X天下與XX二手房密碼加密分析Python爬蟲進階必備 | X咕視頻密碼與指紋加密分析

實戰案例淺析JS加密 - 基礎總結篇

實戰案例淺析JS加密 - RSA與XXTEA

實戰案例淺析JS加密(一) - DES與Base64

總結

以上是生活随笔為你收集整理的js滚动条下拉一定值_JS逆向 | 无限Debugger之淘大象的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。