【JS 逆向百例】猿人学系列 web 比赛第五题：js 混淆

创新互联公司主要从事成都做网站、成都网站建设、网页设计、企业做网站、公司建网站等业务。立足成都服务松溪,10余年网站建设经验,价格优惠、服务专业,欢迎来电咨询建站服务:18982081108

逆向目标

猿人学 - 反混淆刷题平台 Web 第五题：js 混淆，乱码增强
目标：抓取全部 5 页直播间热度，计算前 5 名直播间热度的加和
主页：https://match.yuanrenxue.com/match/5
接口：https://match.yuanrenxue.com/api/match/5?m=XXX&f=XXX
逆向参数：
- url 请求参数：m、f
- Cookie 参数：m、RM4hZBv0dDon443M

逆向过程

抓包分析

进入网页，点击右键查看页面源代码，搜索不到直播间相关数据信息，证明是通过 ajax 加载的数据，ajax 加载有特殊的请求类型 XHR，打开开发者人员工具，刷新网页进行抓包，在 Network 的筛选栏中选择 XHR，数据接口为 5?m=XXX&f=XXX，在响应预览中可以看到各直播间热度数据：

接口 url 有两个请求参数 m 和 f，现在还不知道具体怎么来的：

本题提示 cookie 有效期仅为 50 秒钟，即 cookie 值是在动态变化的，经过对比分析，cookie 中有两个动态变化的参数 m 和 RM4hZBv0dDon443M，接下来需要定位到其生成的位置：

逆向分析

可以通过 Hook Cookie 的方式定位参数位置，这里通过 Fiddler 编程猫插件进行 Hook，相关插件在 K哥爬虫公众号发送【Fiddler插件】即可获取，Hook 代码如下：

(function () {
  'use strict';
  var cookieTemp = '';
  Object.defineProperty(document, 'cookie', {
    set: function (val) {
      if (val.indexOf('RM4hZBv0dDon443M') != -1) {
        debugger;
      }
      console.log('Hook捕获到cookie的值->', val);
      cookieTemp = val;
      return val;
    },
    get: function () {
      return cookieTemp;
    },
  });
})();

将以上代码写入插件中，注入 Hook：

清除网页缓存，勾选开启框，打开 Fiddler 进行 Hook 注入，可以发现成功断住：

从右侧堆栈中向上跟栈，会发现跟到了虚拟机 VMXXX 中，点击右下角 { } 格式化，跳转到了第 978 行，代码部分如下：

_0x3d0f3f[_$Fe] = 'R' + 'M' + '4' + 'h' + 'Z' + 'B' + 'v' + '0' + 'd' + 'D' + 'o' + 'n' + '4' + '4' + '3' + 'M=' + _0x4e96b4['_$ss'] + ';\x20path=/';

在该行打下断点进行调试，控制台打印相关参数：

_$Fe：cookie
_ 0x4e96b4['_$ss']：RM4hZBv0dDon443M 参数加密后的值

前面各字母组成起来就是 RM4hZBv0dDon443M=，此处就是 RM4hZBv0dDon443M 参数加密后赋值给 cookie 的位置，所以关键的加密部分为 _0x4e96b4['_$ss']，打印相关内容会发现 _0x4e96b4 是 window 对象，window. _$ss 即加密后的值：

直接搜索 _$ss 没有结果，同样尝试 Hook，Hook 代码：

(function () {
  'use strict'
  Object.defineProperty(window, '_$ss', {
    set: function (val) {
      console.log('Hook捕获到_$ss的值->', val);
      debugger;
    },
    });
})();

成功断住：

同样向上跟栈，找到其定义位置，跟到了虚拟机中，格式化后跳到第 1229 行：

_0x4e96b4['_$' + _$UH[0x348][0x1] + _$UH[0x353][0x1]] = _0x29dd83[_$UH[0x1f]]();

在该行打下断点调试分析各自含义：

'_$s' 、_$UH[0x348][0x1]、 _$UH[0x353][0x1] 组合起来：'_$ss'
_$UH[0x1f]()：toString()
_0x29dd83[ _$UH[0x1f]]()：将 _0x29dd83 生成的值转换为字符串

因此关键的加密位置肯定在 _0x29dd83 中，往上看， _0x29dd83 定义在第 1225 行，这时候眼前一亮，看到了 mode 和 padding 两个关键字，这里大概率为 AES 或者 DES 加密，将代码解混淆替换后的结果如下：

_$Ww = _$Tk['enc']['utf-8']['parse'](_0x4e96b4['_$pr']['toString']()),
_0x29dd83 = _$Tk['AES'](_$Ww, _0x4e96b4['_$qF'], {
    'mode': _$Tk['mode']['ECB'],
    'padding': _$Tk['pad']['pkcs7']
}),
_0x4e96b4['_$ss'] = _0x29dd83['toString']();

现在就很明显了，这里为 AES 加密，加密内容为 _$Ww，key 值为 _0x4e96b4['_$qF']，加密模块为 ECB，填充方式为 pkcs7：

CBC：Cipher Block Chaining（密码块链接模式），是一种循环模式，前一个分组的密文和当前分组的明文异或操作后再加密，这样做的目的是增强破解难度
PKCS7：在填充时首先获取需要填充的字节长度 = 块长度 - （数据长度 % 块长度）, 在填充字节序列中所有字节填充为需要填充的字节长度值

_$Ww 的值由 _0x4e96b4['_$pr'] 转换为字符串后经过 utf-8 编码得到，其与 key 值 _0x4e96b4['_$qF'] 都是数组，需要知道这两个数组是怎么生成的，先 ctrl + f 搜索 _0x4e96b4['_$qF']，定义在第 1444 行，内容如下：

_0x4e96b4['_$qF'] = CryptoJS['enc']['Utf8'][_$UH[0xff]](_0x4e96b4['btoa'](_0x4e96b4['_$is'])['slice'](0x0, 0x10));

在该行打下断点，控制台打印分析一下：

由此可见，_0x4e96b4['_$qF'] 是通过 CryptoJS 库将字符串经过 base64 加密后取前 16 位的结果，搜索 _0x4e96b4['_$is']，找到字符串生成的位置，在第 674 行，由 _$yw 赋值，在上一行可以看到熟悉的 _$Fe，即 cookie，发现 cookie 中的 m 参数是在这里定义的：

_0x3d0f3f[_$Fe] = 'm=' + _0x(_$yw) + ';\x20path=/';

参数 m 的值也与 _$yw 有关，m 参数是将 _$yw 经过 _0x 函数处理后得到，后面再专门进行分析，_$yw 定义在第 672 行：

_$yw = _0x2d5f5b()[_$UH[0x1f]]();

_$UH[0x1f] 为 “toString”，_$yw 的值是将 _0x2d5f5b() 函数的返回值转换成了字符串得到的，跟进到该函数定义的位置，搜索后发现在第 279 行，控制台打印后发现这里就是时间戳，所以 _$yw 即时间戳：

因此 _0x4e96b4['_$qF']的值是将时间戳经过 base64 加密后取了前 16 位的结果，接下来只需要知道 _0x4e96b4['_$pr']是如何生成的，就能复现出 RM4hZBv0dDon443M 参数的加密过程，在第 1224 行打断点调试发现此时的 _0x4e96b4['_$pr'] 数组包含五个值：

现在就需要知道这五个值是在哪传进去的，搜索 _0x4e96b4['_$pr'] 看看哪里对其进行了赋值，每个都打下断下，该数组定义在第 270 行：

_0x4e96b4['_$pr'] = new _0x4d2d2c();

_0x4d2d2c 在第 224 行定义为 Array，所以这里是创建了一个数组 _0x4e96b4['_$pr']，接着往后找传值的地方，继续运行断点调试，第 1717 行的断点运行了四次传入了四个值：

_0x4e96b4['_$pr']['push'](_0x(_$Wa));

跟进 _$Wa 定义的位置，在第 1715 行，由 _0x12eaf3 函数生成，跟进到这个函数的位置，在第 275 行，返回值解混淆后如下：

Date['parse'](new Date());

再次下一步调试断点会跳转到第 868 行，这时候数组被传入了第五个值，_$yw 为时间戳，由于 m = _0x(_$yw)，所以第五个值也就是参数 m 的值，记住这里出现的 _0x4e96b4['_$is']：

_0x3d0f3f[_$Fe] = 'm=' + _0x(_$yw) + ';\x20path=/';
_0x4e96b4['_$is'] = _$yw;
_0x4e96b4['_$pr']['push'](_0x(_$yw));

数组值的生成位置都找到了，跟 m 参数一样，传入的值都经过了 _0x 函数的处理，因此需要跟进 _0x 函数，鼠标选中，点击即可跳转到该函数定义的位置：

在第 455 行，返回值为三目表达式：

function _0x(_0x233f82, _0xe2ed33, _0x3229f9) {
        return _0xe2ed33 ? _0x3229f9 ? v(_0xe2ed33, _0x233f82) : y(_0xe2ed33, _0x233f82) : _0x3229f9 ? _0xd(_0x233f82) : _0xa(_0x233f82);
}

在 return 处打下断点调试，_0x233f82 为传入的 _$yw 的值，即时间戳，后面两个参数均为 undefined，所以不妨将函数简化下：

function _0x(_0x233f82, _0xe2ed33, _0x3229f9) {
    return _0xa(_0x233f82);
}

接下来需要跟进到 _0xa 函数的位置：

function _0xa(_0x32e7c1) {
        return _0x(_0xd(_0x32e7c1));
}

这里就需要跟出 _0x 函数和 _0xd 函数的内容，接下来就是扣，缺啥补啥，缺函数补函数，缺环境补环境，若报错提示 _$UH is not defined，_$UH 是个大数组，直接将其整体解混淆替换掉就行了，例如：

_$UH[0x6c] ---> "length"

或者写成键值对形式：

_$UH = {
    8: 'prototype',
    15: 'charCodeAt',
    31: 'toString',
    108: 'length'
}

值得注意的是 _0x11a7a2 函数，运行时会报错 op is not defined，op 定义在第 308 行：

op 的值为 26，这里直接将其定义成固定值即可，即 var op = 26;

同样将 _0x42fb36 和 b64pad 也写成固定值，即 _0x42fb36 = 16; 、b64pad = 1;

调试过程中还发现 window['_$6_']、window['_$tT']、window['_$Jy'] 这几个参数的值是在动态变化的，不进行改写甚至将相关部分注释掉，在本地 node 环境中都是可以运行出结果的，但是用 python 调用的话会报错，证明在前端会对这几个参数进行校验，这几个参数在 _0x11a7a2 函数中定义，该函数溯源后最终被 _0x 函数调用，_0x 函数对 _$yw 的值进行处理，生成了 _0x4e96b4['_$pr'] 数组的最后一个值及 m 参数的值，所以如果这几个参数的值匹配错误的话会导致校验失败，我们只需要打断点看 m 参数的值生成的时候，这三个参数的值是多少，然后写成固定值就行了：

window['_$6_'] = -;
window['_$tT'] = -;
window['_$Jy'] = -;

至此 Cookie 中 RM4hZBv0dDon443M 参数和 m 参数的生成逻辑就疏通了，以下通过 JavaScript 对其复现：

// 以下函数部分内容过长，此处省略
// 完整代码关注 GitHub：https://github.com/kgepachong/crawler

var CryptoJS = require('crypto-js');
 
function rm4Encrypt(_$yw, pr){
    var value = Buffer.from(_$yw).toString('base64').slice(0, 16);
    var srcs = CryptoJS.enc.Utf8.parse(pr);
    var key = CryptoJS.enc.Utf8.parse(value);
    var encrypted = CryptoJS.AES.encrypt(srcs, key, {
        mode: CryptoJS.mode.ECB,
        padding: CryptoJS.pad.Pkcs7
    });
    return encrypted.toString();
}

var _$yw = new Date().valueOf().toString();
var _$Wa = Date.parse(new Date())
function pr(){
    pr = [];
    for (i = 1; i < 5; i++) {
        // _$Wa 传入四个值
        pr.push(_0x(_$Wa))
    }
    // _$yw 传入一个值
    pr.push(_0x(_$yw));
    return pr.toString();
}

var RM4hZBv0dDon443M = rm4Encrypt(_$yw, pr());
// m 为数组传入的最后一个值
var m = pr[4];
console.log('RM4hZBv0dDon443M 参数加密后的值为: ' + RM4hZBv0dDon443M)
console.log('m 参数的值为: ' + m)

运行结果：

请求头参数分析

Cookie 中的参数分析完了，还有两个请求参数 m 和 f 没有解决，直接从接口处跟栈，从 Initiator 中跟到 request 里：

点击右下角 { } 格式化后会跳转到 5:formatted 文件的第 856 行，在第 883 行的 list 中可以找到参数 m 和 f 的定义位置：

"m": window._$is,
"f": window.$_zw[23]

m 的值是 window._$is，有没感觉似曾相识，就是上文所说的 _0x4e96b4['_$is'] ，_0x4e96b4 就是 window，所以这里 m 的值其实就是 _$yw ；f 的值是 window.$_zw[23] ，现在需要知道 $_zw[23] 的值怎么生成的，局部搜索 $_zw 会发现该数组定义在第 611 行，接着往后找，看看数组中的第 23 个是什么，先控制台打印一下内容：

第 633 行内容是第六个，顺下去找会发现第 23 个的内容如下：

$_aiding.$_zw.push($_t1);

在此处打下断点调试验证一下，可以发现结果是一样的：

接下来只需要找到 $_t1 的定义位置即可，ctrl + f 局部搜索 $_t1 ，其定义在第 613 行，是个时间戳：

let $_t1 = Date.parse(new Date());

Date.parse(new Date())：获取的时间戳是把毫秒改成 000 显示，如
new Date().valueOf()：获取了当前包括毫秒的时间戳，如

可以发现与 _$Wa 的定义方式一致，对比一下 m 和 f 两个参数的值会发现差值接近于 50 秒，与题目中提示的 Cookie 有效期仅 50 秒钟对应上了：

在虚拟机文件的第 1975 行也有个 50 秒的定时器：

至此所有参数生成的逻辑都调理清晰了，本题并不难，但是扣代码的过程中有许多需要注意的细节，猿人学给大家提供了一个优质的练习平台，做题也是一个很好的自我提升的方式。

完整代码

bilibili 关注 K 哥爬虫，小助理手把手视频教学：https://space.bilibili.com/

GitHub 关注 K 哥爬虫，持续分享爬虫相关代码！欢迎 star ！https://github.com/kgepachong/

以下只演示部分关键代码，不能直接运行！

JavaScript 代码

var _0x4e96b4 = window = {};
var _0x1171c8 = 0x;
var _0x4dae05 = -0x;
var _0x183a1d = -0x;
var _0xcfa373 = 0x;
var _0x30bc70 = String;

// 以下函数部分内容过长，此处省略
// 完整代码关注 GitHub：https://github.com/kgepachong/crawler

var CryptoJS = require('crypto-js');
 
function rm4Encrypt(_$yw, pr){
    var value = Buffer.from(_$yw).toString('base64').slice(0, 16);
    var _$Ww = CryptoJS.enc.Utf8.parse(pr);
    var key = CryptoJS.enc.Utf8.parse(value);
    var encrypted = CryptoJS.AES.encrypt(_$Ww, key, {
        mode: CryptoJS.mode.ECB,
        padding: CryptoJS.pad.Pkcs7
    });
    return encrypted.toString();
}

function getParamers() {
    pr = []; 
    for (i = 1; i < 5; i++) {
        var _$Wa = Date.parse(new Date());
        pr.push(_0x(_$Wa))
    }
    var _$yw = new Date().valueOf().toString(); 
    pr.push(_0x(_$yw));
    cookie_m = pr[4];
    cookie_rm4 = rm4Encrypt(_$yw, pr.toString());
    return{
        "cookie_m": cookie_m,
        "cookie_rm4": cookie_rm4,
        "m": _$yw,
        "f": Date.parse(new Date()).toString()
    }
}
 
console.log(getParamers());

Python 代码

# =======================
# --*-- coding: utf-8 --*--
# @Time    : 2022/9/8
# @Author  : 微信公众号：K哥爬虫
# @FileName: yrx5.py
# @Software: PyCharm
# =======================

import execjs
import requests
import re


def encrypt_yrx5():
    room_heat_all = []
    for page_num in range(1, 6):
        with open('yrx5.js', 'r', encoding='utf-8') as f:
            encrypt = f.read()
            encrypt_params = execjs.compile(encrypt).call('getParamers')
        headers = {
            "user-agent": "yuanrenxue,project",
        }
        cookies = {
        	# 填入自己的 sessionid
            "sessionid": " your sessionid ",
            "m": encrypt_params['cookie_m'],
            "RM4hZBv0dDon443M": encrypt_params['cookie_rm4']
        }
        params = {
            "m": encrypt_params['m'],
            "f": encrypt_params['f']
        }
        url = "https://match.yuanrenxue.com/api/match/5?page=%s" % page_num
        response = requests.get(url, headers=headers, cookies=cookies, params=params)
        for i in range(10):
            value = response.json()['data'][i]
            room_heat = re.findall(r"'value': (.*?)}", str(value))[0]
            room_heat_all.append(room_heat)
    room_heat_all.sort(reverse=True)
    top_five_total = 0
    for i in range(5):
        top_five_total += int(room_heat_all[i])
    print(top_five_total)


if __name__ == '__main__':
    encrypt_yrx5()

文章名称：【JS 逆向百例】猿人学系列 web 比赛第五题：js 混淆
URL地址：http://6mz.cn/article/dsogscd.html

网站建设知识

【JS 逆向百例】猿人学系列 web 比赛第五题：js 混淆

逆向目标

逆向过程

抓包分析

逆向分析

请求头参数分析

完整代码

JavaScript 代码

Python 代码

其他资讯

网站建设知识

【JS 逆向百例】猿人学系列 web 比赛第五题：js 混淆

逆向目标

逆向过程

抓包分析

逆向分析

Cookie 加密参数分析

请求头参数分析

完整代码

JavaScript 代码

Python 代码

其他资讯