崙?zhàn)：定位QQ音樂(lè)VMP加密核心函數(shù)_getSecuritySign與__cgiDecrypt)
1. 項(xiàng)目概述從新手視角看QQ音樂(lè)VMP逆向的挑戰(zhàn)如果你剛接觸JS逆向看到“VMP加密”、“_getSecuritySign”、“__cgiDecrypt”這些詞可能會(huì)覺(jué)得頭大。這很正常因?yàn)镼Q音樂(lè)作為一款國(guó)民級(jí)應(yīng)用其前端安全防護(hù)體系是商業(yè)級(jí)的尤其是對(duì)核心API請(qǐng)求參數(shù)的加密保護(hù)直接關(guān)系到其核心業(yè)務(wù)數(shù)據(jù)的安全。我們常說(shuō)的“手撕”聽(tīng)起來(lái)很熱血但背后其實(shí)是與一套復(fù)雜、自動(dòng)化、不斷更新的保護(hù)機(jī)制進(jìn)行對(duì)抗。對(duì)于新手而言最大的坑往往不是看不懂算法而是在茫茫的混淆代碼海洋里根本找不到算法在哪里。你可能會(huì)在Chrome開(kāi)發(fā)者工具的Sources面板里面對(duì)數(shù)萬(wàn)行被壓縮、變量名被替換成_0x12ab3c這類無(wú)意義字符的代碼感到絕望更別提這些關(guān)鍵函數(shù)還可能被VMPVirtual Machine Protection虛擬機(jī)保護(hù)技術(shù)進(jìn)一步包裹和隱藏。所以這個(gè)指南的核心目的不是教你從零開(kāi)始寫(xiě)解密算法而是幫你建立一套高效的“尋路”方法論讓你能在一片混沌中精準(zhǔn)地找到那兩個(gè)關(guān)鍵的函數(shù)入口——_getSecuritySign和__cgiDecrypt。掌握了定位方法后續(xù)的算法分析、參數(shù)還原乃至自動(dòng)化腳本編寫(xiě)才有了堅(jiān)實(shí)的基礎(chǔ)。無(wú)論你是想研究其數(shù)據(jù)接口還是學(xué)習(xí)高強(qiáng)度的前端保護(hù)技術(shù)這都是必須跨越的第一道門(mén)檻。2. 核心思路拆解逆向工程中的“定位”哲學(xué)在逆向工程中“定位”遠(yuǎn)比“破解”更前置也往往更考驗(yàn)工程師的耐心和技巧。面對(duì)QQ音樂(lè)這樣級(jí)別的目標(biāo)我們不能像無(wú)頭蒼蠅一樣去“猜”或者“碰運(yùn)氣”必須有一套清晰的策略。我的核心思路可以概括為“由外而內(nèi)動(dòng)靜結(jié)合特征錨定”。2.1 由外而內(nèi)從網(wǎng)絡(luò)請(qǐng)求反推關(guān)鍵函數(shù)這是最根本的切入點(diǎn)。我們所有的逆向工作最終都是為了復(fù)現(xiàn)或理解某個(gè)網(wǎng)絡(luò)請(qǐng)求的生成過(guò)程。因此我們的起點(diǎn)必須是瀏覽器開(kāi)發(fā)者工具F12中的Network網(wǎng)絡(luò)面板。你需要找到一個(gè)典型的、攜帶了加密參數(shù)的請(qǐng)求比如獲取歌曲列表或播放地址的接口。仔細(xì)觀察其請(qǐng)求載荷Payload你會(huì)發(fā)現(xiàn)一些規(guī)律性的加密字段最常見(jiàn)的就是sign、_sign或securitySign等。這些字段的值通常是一長(zhǎng)串看似隨機(jī)的十六進(jìn)制字符串或Base64編碼字符串它們就是由_getSecuritySign這類函數(shù)生成的。而響應(yīng)數(shù)據(jù)如果也是加密的表現(xiàn)為一堆亂碼那么解密它的函數(shù)很可能就是__cgiDecrypt。所以第一步永遠(yuǎn)是記錄下目標(biāo)請(qǐng)求的URL、請(qǐng)求參數(shù)尤其是加密參數(shù)名和示例值、以及加密的響應(yīng)體片段。這是你后續(xù)所有驗(yàn)證工作的“標(biāo)準(zhǔn)答案”。2.2 動(dòng)靜結(jié)合XHR斷點(diǎn)與堆棧調(diào)用的威力靜態(tài)分析看代碼在高度混淆和VMP保護(hù)下效率很低我們必須借助動(dòng)態(tài)分析運(yùn)行時(shí)代碼調(diào)試。這里最強(qiáng)大的工具就是XHR/Fetch斷點(diǎn)。在Chrome DevTools的Sources面板中找到“XHR/Fetch Breakpoints”點(diǎn)擊“”號(hào)添加一個(gè)包含目標(biāo)接口URL關(guān)鍵字的斷點(diǎn)例如包含“music.qq.com”或具體的接口路徑。設(shè)置好后當(dāng)瀏覽器發(fā)起對(duì)應(yīng)的網(wǎng)絡(luò)請(qǐng)求時(shí)代碼執(zhí)行就會(huì)自動(dòng)暫停在發(fā)起請(qǐng)求的那一瞬間。此時(shí)看哪里重點(diǎn)看Call Stack調(diào)用堆棧。調(diào)用堆棧顯示了當(dāng)前暫停的代碼位置以及是經(jīng)過(guò)哪些函數(shù)調(diào)用才執(zhí)行到這里的。你的目標(biāo)就是在這個(gè)調(diào)用鏈中尋找那些看起來(lái)像是進(jìn)行參數(shù)拼接、加密計(jì)算或者發(fā)送請(qǐng)求的函數(shù)。通常發(fā)送請(qǐng)求的最終函數(shù)是XMLHttpRequest.send()或fetch()那么在這個(gè)函數(shù)被調(diào)用之前必然有對(duì)參數(shù)進(jìn)行處理的邏輯。你需要從堆棧的底部最開(kāi)始的調(diào)用或頂部最近的調(diào)用逐層點(diǎn)擊查看尋找可疑的代碼段。一個(gè)常見(jiàn)的模式是你會(huì)先找到一個(gè)通用的請(qǐng)求封裝函數(shù)可能叫request、ajax或http在這個(gè)函數(shù)里會(huì)對(duì)傳入的參數(shù)對(duì)象進(jìn)行遍歷和處理其中就可能調(diào)用了_getSecuritySign來(lái)生成簽名。2.3 特征錨定利用函數(shù)名與代碼模式即使代碼被混淆開(kāi)發(fā)者有時(shí)也會(huì)保留一些關(guān)鍵的函數(shù)名或者混淆后的函數(shù)名在同一個(gè)版本中具有一致性。_getSecuritySign和__cgiDecrypt這類名稱本身就帶有很強(qiáng)的業(yè)務(wù)特征。在動(dòng)態(tài)調(diào)試時(shí)你可以在Console控制臺(tái)中嘗試通過(guò)代碼補(bǔ)全來(lái)探測(cè)在暫停狀態(tài)下嘗試輸入window._getSecuritySign或window.__cgiDecrypt看是否能找到對(duì)應(yīng)的函數(shù)引用?；蛘咴赟ources面板中全局搜索CtrlShiftF這些字符串。雖然可能搜不到原函數(shù)定義因?yàn)楸籚MP隱藏了但可能會(huì)找到調(diào)用它們的地方這同樣是重要的線索。此外關(guān)注代碼模式。加密函數(shù)內(nèi)部常常包含對(duì)CryptoJS、window.asign、MD5、SHA、HMAC等關(guān)鍵詞的引用或者有明顯的位運(yùn)算、循環(huán)操作。解密函數(shù)則可能包含JSON.parse、對(duì)響應(yīng)data字段的處理等。在動(dòng)態(tài)跟蹤時(shí)留意這些模式能幫你快速判斷一個(gè)函數(shù)是否是你的目標(biāo)。3. 實(shí)操環(huán)境準(zhǔn)備與工具鏈配置工欲善其事必先利其器。面對(duì)VMP我們需要更專業(yè)的工具來(lái)輔助分析。3.1 瀏覽器與開(kāi)發(fā)者工具首選最新版的Google Chrome或基于Chromium的Microsoft Edge。其開(kāi)發(fā)者工具功能最全面、穩(wěn)定。務(wù)必熟悉以下幾個(gè)核心功能Network面板記錄網(wǎng)絡(luò)請(qǐng)求重點(diǎn)查看Headers特別是Form Data或Payload和Response。勾選Preserve log保留日志防止頁(yè)面跳轉(zhuǎn)后請(qǐng)求記錄消失。Sources面板核心調(diào)試戰(zhàn)場(chǎng)。掌握設(shè)置斷點(diǎn)行號(hào)處點(diǎn)擊、條件斷點(diǎn)右鍵行號(hào)、XHR/Fetch斷點(diǎn)、事件監(jiān)聽(tīng)器斷點(diǎn)的方法。Console面板執(zhí)行JavaScript代碼、查看變量、進(jìn)行函數(shù)探測(cè)。學(xué)會(huì)使用console.trace()在代碼中插入來(lái)打印調(diào)用堆棧。Overrides重寫(xiě)功能在Sources面板的Filesystem下可以將在線JS文件映射到本地文件夾。這樣你修改本地的JS文件刷新頁(yè)面后瀏覽器會(huì)加載你修改后的版本用于持久化地注入調(diào)試代碼或打補(bǔ)丁是繞過(guò)反調(diào)試的利器。3.2 必備的瀏覽器插件ReRes一款資源重定向插件。你可以將線上特定的JS文件比如那個(gè)被VMP保護(hù)的核心vendor.js映射到本地一個(gè)你已經(jīng)格式化、并添加了注釋的版本極大提升靜態(tài)分析的可讀性。EditThisCookie或Cookie-Editor方便地查看、編輯和刪除Cookie。某些簽名算法可能會(huì)用到Cookie中的特定值。SwitchyOmega管理代理在某些需要抓包或切換環(huán)境的場(chǎng)景下有用。3.3 高級(jí)逆向調(diào)試工具當(dāng)常規(guī)方法失效時(shí)這些工具能提供更深層的控制Frida一個(gè)動(dòng)態(tài)插樁工具包?？梢宰⑷胱约旱哪_本到目標(biāo)進(jìn)程瀏覽器或客戶端中攔截、修改函數(shù)調(diào)用甚至直接調(diào)用內(nèi)存中的函數(shù)。對(duì)于VMP保護(hù)的函數(shù)有時(shí)可以通過(guò)Frida去Hook其輸入輸出從而黑盒分析其行為。不過(guò)對(duì)純Web環(huán)境支持需要配合frida-inject等更常用于客戶端逆向。Charles / Fiddler抓包工具。不僅可以查看HTTPS流量需安裝證書(shū)更重要的是它們的**斷點(diǎn)Breakpoints和重寫(xiě)Rewrite**功能。你可以在請(qǐng)求發(fā)出前中斷并修改參數(shù)或者在響應(yīng)返回前中斷并修改響應(yīng)數(shù)據(jù)這對(duì)于測(cè)試加密解密邏輯是否正確非常有效。例如你可以嘗試修改一個(gè)請(qǐng)求參數(shù)看服務(wù)端返回的簽名錯(cuò)誤信息來(lái)驗(yàn)證哪個(gè)參數(shù)參與簽名。Node.js環(huán)境最終為了將逆向成果轉(zhuǎn)化為可用的爬蟲(chóng)或工具你需要用Node.js來(lái)復(fù)現(xiàn)JavaScript代碼。準(zhǔn)備好axios網(wǎng)絡(luò)請(qǐng)求、crypto-js加密算法庫(kù)、puppeteer無(wú)頭瀏覽器用于處理最復(fù)雜的、無(wú)法直接剝離的JS環(huán)境等常用庫(kù)。注意使用任何抓包或調(diào)試工具時(shí)請(qǐng)務(wù)必僅在你自己有合法權(quán)限的網(wǎng)站或應(yīng)用上進(jìn)行學(xué)習(xí)與研究嚴(yán)格遵守相關(guān)法律法規(guī)和服務(wù)條款。本指南僅用于安全技術(shù)研究交流。4. 動(dòng)態(tài)追蹤實(shí)戰(zhàn)定位 _getSecuritySign 函數(shù)假設(shè)我們目標(biāo)是一個(gè)獲取歌曲詳情的接口其請(qǐng)求參數(shù)中有一個(gè)sign字段。我們開(kāi)始實(shí)戰(zhàn)。4.1 捕獲目標(biāo)請(qǐng)求并設(shè)置斷點(diǎn)打開(kāi)QQ音樂(lè)網(wǎng)頁(yè)版進(jìn)入任意歌曲頁(yè)面。打開(kāi)DevTools的Network面板勾選Preserve log并清空現(xiàn)有記錄。觸發(fā)一次歌曲信息的加載比如點(diǎn)擊播放或刷新頁(yè)面。在Network面板中尋找接口URL包含fcg、vkey、detail等關(guān)鍵詞的請(qǐng)求點(diǎn)擊查看其Payload確認(rèn)存在sign或_sign參數(shù)。記錄下這個(gè)請(qǐng)求的完整URL。在Sources面板的“XHR/Fetch Breakpoints”中添加一個(gè)新斷點(diǎn)。由于QQ音樂(lè)的接口域名可能較多一個(gè)比較寬泛但有效的策略是添加一個(gè)包含其主域名如qq.com的斷點(diǎn)或者更精確地使用接口路徑中的關(guān)鍵字如fcg。這里為了演示我們添加一個(gè)包含music.qq.com的斷點(diǎn)。4.2 分析調(diào)用堆棧與定位參數(shù)處理邏輯觸發(fā)斷點(diǎn)后代碼執(zhí)行會(huì)暫停。此時(shí)立即查看Call Stack面板。調(diào)用堆棧通常從上到下或從下到上展示了函數(shù)調(diào)用鏈。最頂層或最底層通常是send或fetch。我們需要尋找在send之前對(duì)請(qǐng)求參數(shù)進(jìn)行處理的函數(shù)。從send附近開(kāi)始逐層點(diǎn)擊堆棧中的函數(shù)。每點(diǎn)擊一個(gè)右側(cè)代碼區(qū)就會(huì)跳轉(zhuǎn)到對(duì)應(yīng)的位置。你需要快速瀏覽代碼尋找以下特征參數(shù)對(duì)象尋找一個(gè)可能是包含所有請(qǐng)求參數(shù)的對(duì)象比如叫params、data、e等。循環(huán)或賦值尋找對(duì)這個(gè)參數(shù)對(duì)象進(jìn)行屬性賦值如params.sign ...或者進(jìn)行Object.assign合并的操作。函數(shù)調(diào)用尋找類似t o(n)或r i.sign(r)這樣的函數(shù)調(diào)用其中r可能就是參數(shù)對(duì)象n可能是某個(gè)密鑰或原始數(shù)據(jù)。這個(gè)過(guò)程可能需要點(diǎn)擊多個(gè)堆棧幀。當(dāng)你發(fā)現(xiàn)某個(gè)函數(shù)中明顯有一個(gè)變量被計(jì)算后賦值給了參數(shù)對(duì)象的sign屬性時(shí)就找到了關(guān)鍵位置。計(jì)算這個(gè)值的函數(shù)很可能就是_getSecuritySign或者其內(nèi)部的某個(gè)子函數(shù)。4.3 驗(yàn)證與追蹤函數(shù)定義找到疑似計(jì)算sign的代碼行例如e.sign c(e, t)。將鼠標(biāo)懸停在函數(shù)名c上DevTools可能會(huì)顯示其定義位置?；蛘吣憧梢杂益I點(diǎn)擊c選擇“Show function definition”如果有的話。如果不行就在這一行打上普通斷點(diǎn)然后取消XHR斷點(diǎn)按F8繼續(xù)執(zhí)行讓請(qǐng)求發(fā)出。刷新頁(yè)面再次觸發(fā)請(qǐng)求代碼會(huì)停在你剛打的斷點(diǎn)上。此時(shí)按F11Step into步入這個(gè)c函數(shù)內(nèi)部?，F(xiàn)在你就進(jìn)入了簽名計(jì)算的核心邏輯。進(jìn)入后觀察這個(gè)函數(shù)的代碼。即使被混淆你也可以通過(guò)console.log在Console面板直接輸入來(lái)打印輸入?yún)?shù)和中間變量。例如在函數(shù)第一行輸入console.log(輸入?yún)?shù):, arguments)然后按F8繼續(xù)就能在Console看到具體的值。反復(fù)使用F10Step over和F11結(jié)合console.log跟蹤整個(gè)計(jì)算流程。你最終會(huì)發(fā)現(xiàn)這個(gè)函數(shù)要么是_getSecuritySign本身要么會(huì)調(diào)用另一個(gè)函數(shù)那個(gè)函數(shù)可能就是_getSecuritySign。通過(guò)查看調(diào)用堆棧你也能看到這個(gè)函數(shù)的實(shí)際名稱如果未被完全混淆。4.4 處理VMP保護(hù)的特殊情況如果_getSecuritySign被VMP保護(hù)你在步入時(shí)可能會(huì)進(jìn)入一個(gè)非常龐大、復(fù)雜的虛擬機(jī)解釋執(zhí)行代碼中里面全是switch-case和狀態(tài)跳轉(zhuǎn)幾乎不可讀。這時(shí)定位策略需要調(diào)整黑盒測(cè)試法不過(guò)度糾結(jié)內(nèi)部實(shí)現(xiàn)。在調(diào)用_getSecuritySign的地方即進(jìn)入VMP之前通過(guò)console.log完整記錄其輸入?yún)?shù)。然后在函數(shù)執(zhí)行后立即記錄其返回值即簽名值。通過(guò)多次不同的請(qǐng)求收集多組“輸入-輸出”對(duì)。Hook法在Console中嘗試使用JavaScript重寫(xiě)Hook這個(gè)函數(shù)。例如如果已知函數(shù)掛在window對(duì)象上可以執(zhí)行var original_getSecuritySign window._getSecuritySign; window._getSecuritySign function() { console.log(_getSecuritySign 被調(diào)用參數(shù):, arguments); var result original_getSecuritySign.apply(this, arguments); console.log(_getSecuritySign 返回值:, result); return result; }這樣每次調(diào)用都會(huì)自動(dòng)打印日志方便你收集數(shù)據(jù)。這對(duì)于分析簽名算法的輸入輸出規(guī)律至關(guān)重要即使你不知道內(nèi)部實(shí)現(xiàn)也能為后續(xù)的模擬提供數(shù)據(jù)基礎(chǔ)。5. 逆向解密流程定位 __cgiDecrypt 函數(shù)響應(yīng)解密函數(shù)__cgiDecrypt的定位思路與簽名函數(shù)類似但觸發(fā)點(diǎn)不同。它發(fā)生在網(wǎng)絡(luò)請(qǐng)求返回之后數(shù)據(jù)被消費(fèi)之前。5.1 尋找響應(yīng)處理入口同樣在Network面板找到目標(biāo)請(qǐng)求這次我們關(guān)注Response標(biāo)簽頁(yè)。如果響應(yīng)數(shù)據(jù)是一堆亂碼非JSON格式那基本可以確定被加密了。在Sources面板設(shè)置XHR/Fetch斷點(diǎn)時(shí)我們不僅可以斷請(qǐng)求的發(fā)送也可以斷請(qǐng)求的響應(yīng)。在“XHR/Fetch Breakpoints”處斷點(diǎn)條件可以更具體比如URL包含某個(gè)路徑且是響應(yīng)階段。更通用的方法是使用事件監(jiān)聽(tīng)器斷點(diǎn)。在Sources面板的“Event Listener Breakpoints”中展開(kāi)“XHR”類別勾選readystatechange事件。因?yàn)閄MLHttpRequest在接收到數(shù)據(jù)時(shí)會(huì)觸發(fā)這個(gè)事件。觸發(fā)請(qǐng)求當(dāng)斷點(diǎn)命中時(shí)查看調(diào)用堆棧。這次我們要尋找的是處理responseText或response數(shù)據(jù)的函數(shù)。5.2 追蹤數(shù)據(jù)解密過(guò)程在調(diào)用堆棧中尋找那些在接收到數(shù)據(jù)后readyState為4status為200執(zhí)行的函數(shù)。步入這些函數(shù)尋找對(duì)響應(yīng)文本進(jìn)行操作的代碼。關(guān)鍵特征包括對(duì)xhr.responseText或response.data的賦值操作。調(diào)用JSON.parse()之前可能有一個(gè)解密函數(shù)對(duì)字符串進(jìn)行處理。類似var decryptedData d(encryptedResponse)的調(diào)用。找到疑似解密的函數(shù)調(diào)用后采用與定位_getSecuritySign相同的方法下斷點(diǎn)、步入、打印日志。__cgiDecrypt函數(shù)的名字可能直接出現(xiàn)在代碼中也可能被混淆成一個(gè)短變量名。驗(yàn)證它是否是解密函數(shù)在函數(shù)內(nèi)部打印其輸入加密字符串在函數(shù)返回后打印其輸出。如果輸出變成了可讀的JSON字符串那就找對(duì)了。5.3 處理異步與Promise鏈現(xiàn)代前端大量使用Promise和async/await解密邏輯可能被封裝在.then()鏈或await之后。這會(huì)給調(diào)用堆棧追蹤帶來(lái)一些干擾。一個(gè)技巧是在Network面板中右鍵點(diǎn)擊目標(biāo)請(qǐng)求選擇“Copy - Copy as fetch”。這會(huì)在Console生成一個(gè)類似的fetch請(qǐng)求代碼。你可以手動(dòng)執(zhí)行這段代碼并在其后追加.then(res res.text()).then(text { console.log(text); debugger; return text; })。這樣當(dāng)響應(yīng)文本到達(dá)時(shí)debugger語(yǔ)句會(huì)強(qiáng)制中斷執(zhí)行此時(shí)你就在Promise的處理鏈中可以更方便地查看解密邏輯被調(diào)用的上下文。6. 靜態(tài)分析與代碼還原技巧動(dòng)態(tài)定位到函數(shù)后我們需要進(jìn)行靜態(tài)分析來(lái)理解其算法。由于VMP和混淆直接閱讀幾乎不可能我們需要借助工具進(jìn)行初步還原。6.1 代碼格式化與重命名使用瀏覽器開(kāi)發(fā)者工具自帶的“Pretty print”美化打印功能Sources面板中那個(gè){}圖標(biāo)將壓縮的代碼格式化使其有基本的縮進(jìn)和換行。對(duì)于映射到本地的文件通過(guò)ReRes或Overrides可以使用更強(qiáng)大的本地編輯器如VSCode進(jìn)行格式化并利用正則表達(dá)式進(jìn)行初步的變量名替換風(fēng)險(xiǎn)較高可能破壞邏輯。關(guān)鍵技巧利用AST解析與反混淆工具。對(duì)于復(fù)雜的混淆可以嘗試使用像jsnice、de4js這樣的在線工具注意代碼安全或者本地部署的javascript-obfuscator的反向工程工具但通常效果有限。對(duì)于VMP目前沒(méi)有通用的完美反編譯工具社區(qū)通常針對(duì)特定版本或特定VMP實(shí)現(xiàn)如某數(shù)字公司的有專門(mén)的解包工具這需要你根據(jù)實(shí)際情況搜索。6.2 邏輯梳理與注釋在動(dòng)態(tài)調(diào)試過(guò)程中你已經(jīng)知道了函數(shù)的輸入、輸出以及關(guān)鍵的執(zhí)行路徑?，F(xiàn)在將格式化后的代碼對(duì)應(yīng)到你動(dòng)態(tài)跟蹤的路徑上。在你下斷點(diǎn)的地方添加注釋// 斷點(diǎn)入口。在console.log打印重要變量的地方在代碼對(duì)應(yīng)位置注釋上// 此處變量a為xxx。用注釋標(biāo)記出你認(rèn)為的算法關(guān)鍵步驟如// 疑似MD5初始化、// 循環(huán)拼接參數(shù)、// Base64編碼等。如果發(fā)現(xiàn)函數(shù)內(nèi)部調(diào)用了其他輔助函數(shù)繼續(xù)用動(dòng)態(tài)跟蹤的方法去理解那些輔助函數(shù)的作用并用注釋標(biāo)明。這個(gè)過(guò)程就像考古將動(dòng)態(tài)執(zhí)行時(shí)觀察到的“活”的現(xiàn)象與靜態(tài)的“死”代碼一一對(duì)應(yīng)起來(lái)逐漸拼湊出完整的邏輯圖。6.3 算法識(shí)別與模擬通過(guò)靜態(tài)分析和動(dòng)態(tài)日志你需要總結(jié)出算法的步驟參數(shù)排序簽名通常要求所有參數(shù)按字典序排序。拼接規(guī)則參數(shù)名和值以連接參數(shù)之間以連接最后可能拼接一個(gè)固定密鑰或從Cookie/本地存儲(chǔ)獲取的token。哈希算法對(duì)拼接后的字符串進(jìn)行哈希MD5、SHA1、SHA256等。在代碼中尋找CryptoJS.MD5、createHash(‘md5’)等特征或者尋找包含0123456789abcdef常量、位移運(yùn)算、模運(yùn)算 0xff的代碼塊這可能是MD5的實(shí)現(xiàn)。二次處理哈希結(jié)果可能再被Base64編碼、截取特定長(zhǎng)度、或與時(shí)間戳等進(jìn)行二次計(jì)算。 對(duì)于__cgiDecrypt可能是AES、DES或自定義的XOR流加密。尋找CryptoJS.AES.decrypt、createDecipheriv等關(guān)鍵詞或者尋找涉及S-Box置換盒的復(fù)雜循環(huán)。7. 常見(jiàn)問(wèn)題排查與實(shí)戰(zhàn)心得7.1 斷點(diǎn)無(wú)法命中或瞬間跳過(guò)原因1代碼被動(dòng)態(tài)加載或eval執(zhí)行。解決方案在Sources面板的“Event Listener Breakpoints”中勾選script相關(guān)的scriptFirstStatement或者在代碼可能被加載的位置使用debugger;語(yǔ)句。原因2反調(diào)試檢測(cè)。一些網(wǎng)站會(huì)檢測(cè)開(kāi)發(fā)者工具導(dǎo)致代碼行為異?；驘o(wú)法調(diào)試。解決方案使用setTimeout包裹debugger語(yǔ)句或使用條件斷點(diǎn)。嘗試在無(wú)痕模式下調(diào)試。使用瀏覽器插件如Disable DevTools Detection。最根本的方法是使用Overrides功能在本地JS文件中刪除或修改反調(diào)試代碼片段。7.2 定位到的函數(shù)內(nèi)部邏輯極度復(fù)雜VMP策略調(diào)整接受無(wú)法完全逆向VMP內(nèi)部邏輯的現(xiàn)實(shí)。采用“黑盒”“Hook”策略。核心目標(biāo)是確定函數(shù)的輸入輸出映射關(guān)系。數(shù)據(jù)收集編寫(xiě)一個(gè)Hook腳本批量、自動(dòng)化地收集該函數(shù)在不同輸入下的輸出。構(gòu)建一個(gè)足夠大的數(shù)據(jù)集。外部模擬如果算法不是強(qiáng)隨機(jī)如依賴時(shí)間戳、隨機(jī)數(shù)嘗試在Node.js環(huán)境中用已知的加密庫(kù)crypto-js,node-forge等根據(jù)觀察到的輸入輸出規(guī)律暴力猜測(cè)或枚舉可能的算法組合。有時(shí)算法只是標(biāo)準(zhǔn)哈希的簡(jiǎn)單變種。7.3 算法依賴瀏覽器環(huán)境變量問(wèn)題簽名算法可能使用了window.navigator.userAgent、window.performance.timing、甚至Canvas指紋等瀏覽器特有信息。解決方案在Node.js復(fù)現(xiàn)時(shí)需要模擬這些環(huán)境。使用puppeteer或playwright這類無(wú)頭瀏覽器庫(kù)是最穩(wěn)妥的它們提供了完整的瀏覽器環(huán)境。如果追求效率可以嘗試在Node.js中全局定義這些變量global.window { navigator: { userAgent: ‘…’ } }但兼容性可能不佳。7.4 簽名或解密算法頻繁變更現(xiàn)實(shí)商業(yè)應(yīng)用的核心加密邏輯會(huì)不定期更新。應(yīng)對(duì)監(jiān)控建立自動(dòng)化腳本定期測(cè)試你的解密方法是否依然有效。模塊化將定位、解密邏輯封裝成獨(dú)立、可配置的模塊。當(dāng)算法變更時(shí)你需要重新執(zhí)行一次“定位-分析”的流程但核心的調(diào)試和Hook工具鏈可以復(fù)用。降級(jí)如果網(wǎng)頁(yè)版防護(hù)太強(qiáng)可以評(píng)估是否有其他數(shù)據(jù)源如移動(dòng)端API可能防護(hù)不同、合作伙伴接口等但這涉及更復(fù)雜的逆向和更高的法律風(fēng)險(xiǎn)。7.5 個(gè)人心得耐心與記錄逆向是一個(gè)極度需要耐心和細(xì)致的工作。我最深刻的體會(huì)是好記性不如爛筆頭。一定要養(yǎng)成隨時(shí)記錄的習(xí)慣。記錄每一個(gè)斷點(diǎn)位置和當(dāng)時(shí)的變量狀態(tài)。保存每一次重要的網(wǎng)絡(luò)請(qǐng)求cURL命令或原始頭信息。對(duì)關(guān)鍵函數(shù)截圖或保存代碼片段。使用思維導(dǎo)圖工具繪制函數(shù)調(diào)用關(guān)系和數(shù)據(jù)處理流程。 建立你自己的“逆向筆記”當(dāng)下次遇到類似問(wèn)題或目標(biāo)網(wǎng)站更新時(shí)這些記錄能幫你快速找回狀態(tài)效率提升不止一倍。逆向不是蠻干是策略、工具和經(jīng)驗(yàn)的結(jié)合。從定位開(kāi)始一步步拆解你總能找到那條通往核心邏輯的路徑。 JS逆向?qū)崙?zhàn)：定位QQ音樂(lè)VMP加密核心函數(shù)_getSecuritySign與__cgiDecrypt
1. 項(xiàng)目概述從新手視角看QQ音樂(lè)VMP逆向的挑戰(zhàn)如果你剛接觸JS逆向看到“VMP加密”、“_getSecuritySign”、“__cgiDecrypt”這些詞可能會(huì)覺(jué)得頭大。這很正常因?yàn)镼Q音樂(lè)作為一款國(guó)民級(jí)應(yīng)用其前端安全防護(hù)體系是商業(yè)級(jí)的尤其是對(duì)核心API請(qǐng)求參數(shù)的加密保護(hù)直接關(guān)系到其核心業(yè)務(wù)數(shù)據(jù)的安全。我們常說(shuō)的“手撕”聽(tīng)起來(lái)很熱血但背后其實(shí)是與一套復(fù)雜、自動(dòng)化、不斷更新的保護(hù)機(jī)制進(jìn)行對(duì)抗。對(duì)于新手而言最大的坑往往不是看不懂算法而是在茫茫的混淆代碼海洋里根本找不到算法在哪里。你可能會(huì)在Chrome開(kāi)發(fā)者工具的Sources面板里面對(duì)數(shù)萬(wàn)行被壓縮、變量名被替換成_0x12ab3c這類無(wú)意義字符的代碼感到絕望更別提這些關(guān)鍵函數(shù)還可能被VMPVirtual Machine Protection虛擬機(jī)保護(hù)技術(shù)進(jìn)一步包裹和隱藏。所以這個(gè)指南的核心目的不是教你從零開(kāi)始寫(xiě)解密算法而是幫你建立一套高效的“尋路”方法論讓你能在一片混沌中精準(zhǔn)地找到那兩個(gè)關(guān)鍵的函數(shù)入口——_getSecuritySign和__cgiDecrypt。掌握了定位方法后續(xù)的算法分析、參數(shù)還原乃至自動(dòng)化腳本編寫(xiě)才有了堅(jiān)實(shí)的基礎(chǔ)。無(wú)論你是想研究其數(shù)據(jù)接口還是學(xué)習(xí)高強(qiáng)度的前端保護(hù)技術(shù)這都是必須跨越的第一道門(mén)檻。2. 核心思路拆解逆向工程中的“定位”哲學(xué)在逆向工程中“定位”遠(yuǎn)比“破解”更前置也往往更考驗(yàn)工程師的耐心和技巧。面對(duì)QQ音樂(lè)這樣級(jí)別的目標(biāo)我們不能像無(wú)頭蒼蠅一樣去“猜”或者“碰運(yùn)氣”必須有一套清晰的策略。我的核心思路可以概括為“由外而內(nèi)動(dòng)靜結(jié)合特征錨定”。2.1 由外而內(nèi)從網(wǎng)絡(luò)請(qǐng)求反推關(guān)鍵函數(shù)這是最根本的切入點(diǎn)。我們所有的逆向工作最終都是為了復(fù)現(xiàn)或理解某個(gè)網(wǎng)絡(luò)請(qǐng)求的生成過(guò)程。因此我們的起點(diǎn)必須是瀏覽器開(kāi)發(fā)者工具F12中的Network網(wǎng)絡(luò)面板。你需要找到一個(gè)典型的、攜帶了加密參數(shù)的請(qǐng)求比如獲取歌曲列表或播放地址的接口。仔細(xì)觀察其請(qǐng)求載荷Payload你會(huì)發(fā)現(xiàn)一些規(guī)律性的加密字段最常見(jiàn)的就是sign、_sign或securitySign等。這些字段的值通常是一長(zhǎng)串看似隨機(jī)的十六進(jìn)制字符串或Base64編碼字符串它們就是由_getSecuritySign這類函數(shù)生成的。而響應(yīng)數(shù)據(jù)如果也是加密的表現(xiàn)為一堆亂碼那么解密它的函數(shù)很可能就是__cgiDecrypt。所以第一步永遠(yuǎn)是記錄下目標(biāo)請(qǐng)求的URL、請(qǐng)求參數(shù)尤其是加密參數(shù)名和示例值、以及加密的響應(yīng)體片段。這是你后續(xù)所有驗(yàn)證工作的“標(biāo)準(zhǔn)答案”。2.2 動(dòng)靜結(jié)合XHR斷點(diǎn)與堆棧調(diào)用的威力靜態(tài)分析看代碼在高度混淆和VMP保護(hù)下效率很低我們必須借助動(dòng)態(tài)分析運(yùn)行時(shí)代碼調(diào)試。這里最強(qiáng)大的工具就是XHR/Fetch斷點(diǎn)。在Chrome DevTools的Sources面板中找到“XHR/Fetch Breakpoints”點(diǎn)擊“”號(hào)添加一個(gè)包含目標(biāo)接口URL關(guān)鍵字的斷點(diǎn)例如包含“music.qq.com”或具體的接口路徑。設(shè)置好后當(dāng)瀏覽器發(fā)起對(duì)應(yīng)的網(wǎng)絡(luò)請(qǐng)求時(shí)代碼執(zhí)行就會(huì)自動(dòng)暫停在發(fā)起請(qǐng)求的那一瞬間。此時(shí)看哪里重點(diǎn)看Call Stack調(diào)用堆棧。調(diào)用堆棧顯示了當(dāng)前暫停的代碼位置以及是經(jīng)過(guò)哪些函數(shù)調(diào)用才執(zhí)行到這里的。你的目標(biāo)就是在這個(gè)調(diào)用鏈中尋找那些看起來(lái)像是進(jìn)行參數(shù)拼接、加密計(jì)算或者發(fā)送請(qǐng)求的函數(shù)。通常發(fā)送請(qǐng)求的最終函數(shù)是XMLHttpRequest.send()或fetch()那么在這個(gè)函數(shù)被調(diào)用之前必然有對(duì)參數(shù)進(jìn)行處理的邏輯。你需要從堆棧的底部最開(kāi)始的調(diào)用或頂部最近的調(diào)用逐層點(diǎn)擊查看尋找可疑的代碼段。一個(gè)常見(jiàn)的模式是你會(huì)先找到一個(gè)通用的請(qǐng)求封裝函數(shù)可能叫request、ajax或http在這個(gè)函數(shù)里會(huì)對(duì)傳入的參數(shù)對(duì)象進(jìn)行遍歷和處理其中就可能調(diào)用了_getSecuritySign來(lái)生成簽名。2.3 特征錨定利用函數(shù)名與代碼模式即使代碼被混淆開(kāi)發(fā)者有時(shí)也會(huì)保留一些關(guān)鍵的函數(shù)名或者混淆后的函數(shù)名在同一個(gè)版本中具有一致性。_getSecuritySign和__cgiDecrypt這類名稱本身就帶有很強(qiáng)的業(yè)務(wù)特征。在動(dòng)態(tài)調(diào)試時(shí)你可以在Console控制臺(tái)中嘗試通過(guò)代碼補(bǔ)全來(lái)探測(cè)在暫停狀態(tài)下嘗試輸入window._getSecuritySign或window.__cgiDecrypt看是否能找到對(duì)應(yīng)的函數(shù)引用?；蛘咴赟ources面板中全局搜索CtrlShiftF這些字符串。雖然可能搜不到原函數(shù)定義因?yàn)楸籚MP隱藏了但可能會(huì)找到調(diào)用它們的地方這同樣是重要的線索。此外關(guān)注代碼模式。加密函數(shù)內(nèi)部常常包含對(duì)CryptoJS、window.asign、MD5、SHA、HMAC等關(guān)鍵詞的引用或者有明顯的位運(yùn)算、循環(huán)操作。解密函數(shù)則可能包含JSON.parse、對(duì)響應(yīng)data字段的處理等。在動(dòng)態(tài)跟蹤時(shí)留意這些模式能幫你快速判斷一個(gè)函數(shù)是否是你的目標(biāo)。3. 實(shí)操環(huán)境準(zhǔn)備與工具鏈配置工欲善其事必先利其器。面對(duì)VMP我們需要更專業(yè)的工具來(lái)輔助分析。3.1 瀏覽器與開(kāi)發(fā)者工具首選最新版的Google Chrome或基于Chromium的Microsoft Edge。其開(kāi)發(fā)者工具功能最全面、穩(wěn)定。務(wù)必熟悉以下幾個(gè)核心功能Network面板記錄網(wǎng)絡(luò)請(qǐng)求重點(diǎn)查看Headers特別是Form Data或Payload和Response。勾選Preserve log保留日志防止頁(yè)面跳轉(zhuǎn)后請(qǐng)求記錄消失。Sources面板核心調(diào)試戰(zhàn)場(chǎng)。掌握設(shè)置斷點(diǎn)行號(hào)處點(diǎn)擊、條件斷點(diǎn)右鍵行號(hào)、XHR/Fetch斷點(diǎn)、事件監(jiān)聽(tīng)器斷點(diǎn)的方法。Console面板執(zhí)行JavaScript代碼、查看變量、進(jìn)行函數(shù)探測(cè)。學(xué)會(huì)使用console.trace()在代碼中插入來(lái)打印調(diào)用堆棧。Overrides重寫(xiě)功能在Sources面板的Filesystem下可以將在線JS文件映射到本地文件夾。這樣你修改本地的JS文件刷新頁(yè)面后瀏覽器會(huì)加載你修改后的版本用于持久化地注入調(diào)試代碼或打補(bǔ)丁是繞過(guò)反調(diào)試的利器。3.2 必備的瀏覽器插件ReRes一款資源重定向插件。你可以將線上特定的JS文件比如那個(gè)被VMP保護(hù)的核心vendor.js映射到本地一個(gè)你已經(jīng)格式化、并添加了注釋的版本極大提升靜態(tài)分析的可讀性。EditThisCookie或Cookie-Editor方便地查看、編輯和刪除Cookie。某些簽名算法可能會(huì)用到Cookie中的特定值。SwitchyOmega管理代理在某些需要抓包或切換環(huán)境的場(chǎng)景下有用。3.3 高級(jí)逆向調(diào)試工具當(dāng)常規(guī)方法失效時(shí)這些工具能提供更深層的控制Frida一個(gè)動(dòng)態(tài)插樁工具包?？梢宰⑷胱约旱哪_本到目標(biāo)進(jìn)程瀏覽器或客戶端中攔截、修改函數(shù)調(diào)用甚至直接調(diào)用內(nèi)存中的函數(shù)。對(duì)于VMP保護(hù)的函數(shù)有時(shí)可以通過(guò)Frida去Hook其輸入輸出從而黑盒分析其行為。不過(guò)對(duì)純Web環(huán)境支持需要配合frida-inject等更常用于客戶端逆向。Charles / Fiddler抓包工具。不僅可以查看HTTPS流量需安裝證書(shū)更重要的是它們的**斷點(diǎn)Breakpoints和重寫(xiě)Rewrite**功能。你可以在請(qǐng)求發(fā)出前中斷并修改參數(shù)或者在響應(yīng)返回前中斷并修改響應(yīng)數(shù)據(jù)這對(duì)于測(cè)試加密解密邏輯是否正確非常有效。例如你可以嘗試修改一個(gè)請(qǐng)求參數(shù)看服務(wù)端返回的簽名錯(cuò)誤信息來(lái)驗(yàn)證哪個(gè)參數(shù)參與簽名。Node.js環(huán)境最終為了將逆向成果轉(zhuǎn)化為可用的爬蟲(chóng)或工具你需要用Node.js來(lái)復(fù)現(xiàn)JavaScript代碼。準(zhǔn)備好axios網(wǎng)絡(luò)請(qǐng)求、crypto-js加密算法庫(kù)、puppeteer無(wú)頭瀏覽器用于處理最復(fù)雜的、無(wú)法直接剝離的JS環(huán)境等常用庫(kù)。注意使用任何抓包或調(diào)試工具時(shí)請(qǐng)務(wù)必僅在你自己有合法權(quán)限的網(wǎng)站或應(yīng)用上進(jìn)行學(xué)習(xí)與研究嚴(yán)格遵守相關(guān)法律法規(guī)和服務(wù)條款。本指南僅用于安全技術(shù)研究交流。4. 動(dòng)態(tài)追蹤實(shí)戰(zhàn)定位 _getSecuritySign 函數(shù)假設(shè)我們目標(biāo)是一個(gè)獲取歌曲詳情的接口其請(qǐng)求參數(shù)中有一個(gè)sign字段。我們開(kāi)始實(shí)戰(zhàn)。4.1 捕獲目標(biāo)請(qǐng)求并設(shè)置斷點(diǎn)打開(kāi)QQ音樂(lè)網(wǎng)頁(yè)版進(jìn)入任意歌曲頁(yè)面。打開(kāi)DevTools的Network面板勾選Preserve log并清空現(xiàn)有記錄。觸發(fā)一次歌曲信息的加載比如點(diǎn)擊播放或刷新頁(yè)面。在Network面板中尋找接口URL包含fcg、vkey、detail等關(guān)鍵詞的請(qǐng)求點(diǎn)擊查看其Payload確認(rèn)存在sign或_sign參數(shù)。記錄下這個(gè)請(qǐng)求的完整URL。在Sources面板的“XHR/Fetch Breakpoints”中添加一個(gè)新斷點(diǎn)。由于QQ音樂(lè)的接口域名可能較多一個(gè)比較寬泛但有效的策略是添加一個(gè)包含其主域名如qq.com的斷點(diǎn)或者更精確地使用接口路徑中的關(guān)鍵字如fcg。這里為了演示我們添加一個(gè)包含music.qq.com的斷點(diǎn)。4.2 分析調(diào)用堆棧與定位參數(shù)處理邏輯觸發(fā)斷點(diǎn)后代碼執(zhí)行會(huì)暫停。此時(shí)立即查看Call Stack面板。調(diào)用堆棧通常從上到下或從下到上展示了函數(shù)調(diào)用鏈。最頂層或最底層通常是send或fetch。我們需要尋找在send之前對(duì)請(qǐng)求參數(shù)進(jìn)行處理的函數(shù)。從send附近開(kāi)始逐層點(diǎn)擊堆棧中的函數(shù)。每點(diǎn)擊一個(gè)右側(cè)代碼區(qū)就會(huì)跳轉(zhuǎn)到對(duì)應(yīng)的位置。你需要快速瀏覽代碼尋找以下特征參數(shù)對(duì)象尋找一個(gè)可能是包含所有請(qǐng)求參數(shù)的對(duì)象比如叫params、data、e等。循環(huán)或賦值尋找對(duì)這個(gè)參數(shù)對(duì)象進(jìn)行屬性賦值如params.sign ...或者進(jìn)行Object.assign合并的操作。函數(shù)調(diào)用尋找類似t o(n)或r i.sign(r)這樣的函數(shù)調(diào)用其中r可能就是參數(shù)對(duì)象n可能是某個(gè)密鑰或原始數(shù)據(jù)。這個(gè)過(guò)程可能需要點(diǎn)擊多個(gè)堆棧幀。當(dāng)你發(fā)現(xiàn)某個(gè)函數(shù)中明顯有一個(gè)變量被計(jì)算后賦值給了參數(shù)對(duì)象的sign屬性時(shí)就找到了關(guān)鍵位置。計(jì)算這個(gè)值的函數(shù)很可能就是_getSecuritySign或者其內(nèi)部的某個(gè)子函數(shù)。4.3 驗(yàn)證與追蹤函數(shù)定義找到疑似計(jì)算sign的代碼行例如e.sign c(e, t)。將鼠標(biāo)懸停在函數(shù)名c上DevTools可能會(huì)顯示其定義位置?；蛘吣憧梢杂益I點(diǎn)擊c選擇“Show function definition”如果有的話。如果不行就在這一行打上普通斷點(diǎn)然后取消XHR斷點(diǎn)按F8繼續(xù)執(zhí)行讓請(qǐng)求發(fā)出。刷新頁(yè)面再次觸發(fā)請(qǐng)求代碼會(huì)停在你剛打的斷點(diǎn)上。此時(shí)按F11Step into步入這個(gè)c函數(shù)內(nèi)部?，F(xiàn)在你就進(jìn)入了簽名計(jì)算的核心邏輯。進(jìn)入后觀察這個(gè)函數(shù)的代碼。即使被混淆你也可以通過(guò)console.log在Console面板直接輸入來(lái)打印輸入?yún)?shù)和中間變量。例如在函數(shù)第一行輸入console.log(輸入?yún)?shù):, arguments)然后按F8繼續(xù)就能在Console看到具體的值。反復(fù)使用F10Step over和F11結(jié)合console.log跟蹤整個(gè)計(jì)算流程。你最終會(huì)發(fā)現(xiàn)這個(gè)函數(shù)要么是_getSecuritySign本身要么會(huì)調(diào)用另一個(gè)函數(shù)那個(gè)函數(shù)可能就是_getSecuritySign。通過(guò)查看調(diào)用堆棧你也能看到這個(gè)函數(shù)的實(shí)際名稱如果未被完全混淆。4.4 處理VMP保護(hù)的特殊情況如果_getSecuritySign被VMP保護(hù)你在步入時(shí)可能會(huì)進(jìn)入一個(gè)非常龐大、復(fù)雜的虛擬機(jī)解釋執(zhí)行代碼中里面全是switch-case和狀態(tài)跳轉(zhuǎn)幾乎不可讀。這時(shí)定位策略需要調(diào)整黑盒測(cè)試法不過(guò)度糾結(jié)內(nèi)部實(shí)現(xiàn)。在調(diào)用_getSecuritySign的地方即進(jìn)入VMP之前通過(guò)console.log完整記錄其輸入?yún)?shù)。然后在函數(shù)執(zhí)行后立即記錄其返回值即簽名值。通過(guò)多次不同的請(qǐng)求收集多組“輸入-輸出”對(duì)。Hook法在Console中嘗試使用JavaScript重寫(xiě)Hook這個(gè)函數(shù)。例如如果已知函數(shù)掛在window對(duì)象上可以執(zhí)行var original_getSecuritySign window._getSecuritySign; window._getSecuritySign function() { console.log(_getSecuritySign 被調(diào)用參數(shù):, arguments); var result original_getSecuritySign.apply(this, arguments); console.log(_getSecuritySign 返回值:, result); return result; }這樣每次調(diào)用都會(huì)自動(dòng)打印日志方便你收集數(shù)據(jù)。這對(duì)于分析簽名算法的輸入輸出規(guī)律至關(guān)重要即使你不知道內(nèi)部實(shí)現(xiàn)也能為后續(xù)的模擬提供數(shù)據(jù)基礎(chǔ)。5. 逆向解密流程定位 __cgiDecrypt 函數(shù)響應(yīng)解密函數(shù)__cgiDecrypt的定位思路與簽名函數(shù)類似但觸發(fā)點(diǎn)不同。它發(fā)生在網(wǎng)絡(luò)請(qǐng)求返回之后數(shù)據(jù)被消費(fèi)之前。5.1 尋找響應(yīng)處理入口同樣在Network面板找到目標(biāo)請(qǐng)求這次我們關(guān)注Response標(biāo)簽頁(yè)。如果響應(yīng)數(shù)據(jù)是一堆亂碼非JSON格式那基本可以確定被加密了。在Sources面板設(shè)置XHR/Fetch斷點(diǎn)時(shí)我們不僅可以斷請(qǐng)求的發(fā)送也可以斷請(qǐng)求的響應(yīng)。在“XHR/Fetch Breakpoints”處斷點(diǎn)條件可以更具體比如URL包含某個(gè)路徑且是響應(yīng)階段。更通用的方法是使用事件監(jiān)聽(tīng)器斷點(diǎn)。在Sources面板的“Event Listener Breakpoints”中展開(kāi)“XHR”類別勾選readystatechange事件。因?yàn)閄MLHttpRequest在接收到數(shù)據(jù)時(shí)會(huì)觸發(fā)這個(gè)事件。觸發(fā)請(qǐng)求當(dāng)斷點(diǎn)命中時(shí)查看調(diào)用堆棧。這次我們要尋找的是處理responseText或response數(shù)據(jù)的函數(shù)。5.2 追蹤數(shù)據(jù)解密過(guò)程在調(diào)用堆棧中尋找那些在接收到數(shù)據(jù)后readyState為4status為200執(zhí)行的函數(shù)。步入這些函數(shù)尋找對(duì)響應(yīng)文本進(jìn)行操作的代碼。關(guān)鍵特征包括對(duì)xhr.responseText或response.data的賦值操作。調(diào)用JSON.parse()之前可能有一個(gè)解密函數(shù)對(duì)字符串進(jìn)行處理。類似var decryptedData d(encryptedResponse)的調(diào)用。找到疑似解密的函數(shù)調(diào)用后采用與定位_getSecuritySign相同的方法下斷點(diǎn)、步入、打印日志。__cgiDecrypt函數(shù)的名字可能直接出現(xiàn)在代碼中也可能被混淆成一個(gè)短變量名。驗(yàn)證它是否是解密函數(shù)在函數(shù)內(nèi)部打印其輸入加密字符串在函數(shù)返回后打印其輸出。如果輸出變成了可讀的JSON字符串那就找對(duì)了。5.3 處理異步與Promise鏈現(xiàn)代前端大量使用Promise和async/await解密邏輯可能被封裝在.then()鏈或await之后。這會(huì)給調(diào)用堆棧追蹤帶來(lái)一些干擾。一個(gè)技巧是在Network面板中右鍵點(diǎn)擊目標(biāo)請(qǐng)求選擇“Copy - Copy as fetch”。這會(huì)在Console生成一個(gè)類似的fetch請(qǐng)求代碼。你可以手動(dòng)執(zhí)行這段代碼并在其后追加.then(res res.text()).then(text { console.log(text); debugger; return text; })。這樣當(dāng)響應(yīng)文本到達(dá)時(shí)debugger語(yǔ)句會(huì)強(qiáng)制中斷執(zhí)行此時(shí)你就在Promise的處理鏈中可以更方便地查看解密邏輯被調(diào)用的上下文。6. 靜態(tài)分析與代碼還原技巧動(dòng)態(tài)定位到函數(shù)后我們需要進(jìn)行靜態(tài)分析來(lái)理解其算法。由于VMP和混淆直接閱讀幾乎不可能我們需要借助工具進(jìn)行初步還原。6.1 代碼格式化與重命名使用瀏覽器開(kāi)發(fā)者工具自帶的“Pretty print”美化打印功能Sources面板中那個(gè){}圖標(biāo)將壓縮的代碼格式化使其有基本的縮進(jìn)和換行。對(duì)于映射到本地的文件通過(guò)ReRes或Overrides可以使用更強(qiáng)大的本地編輯器如VSCode進(jìn)行格式化并利用正則表達(dá)式進(jìn)行初步的變量名替換風(fēng)險(xiǎn)較高可能破壞邏輯。關(guān)鍵技巧利用AST解析與反混淆工具。對(duì)于復(fù)雜的混淆可以嘗試使用像jsnice、de4js這樣的在線工具注意代碼安全或者本地部署的javascript-obfuscator的反向工程工具但通常效果有限。對(duì)于VMP目前沒(méi)有通用的完美反編譯工具社區(qū)通常針對(duì)特定版本或特定VMP實(shí)現(xiàn)如某數(shù)字公司的有專門(mén)的解包工具這需要你根據(jù)實(shí)際情況搜索。6.2 邏輯梳理與注釋在動(dòng)態(tài)調(diào)試過(guò)程中你已經(jīng)知道了函數(shù)的輸入、輸出以及關(guān)鍵的執(zhí)行路徑?，F(xiàn)在將格式化后的代碼對(duì)應(yīng)到你動(dòng)態(tài)跟蹤的路徑上。在你下斷點(diǎn)的地方添加注釋// 斷點(diǎn)入口。在console.log打印重要變量的地方在代碼對(duì)應(yīng)位置注釋上// 此處變量a為xxx。用注釋標(biāo)記出你認(rèn)為的算法關(guān)鍵步驟如// 疑似MD5初始化、// 循環(huán)拼接參數(shù)、// Base64編碼等。如果發(fā)現(xiàn)函數(shù)內(nèi)部調(diào)用了其他輔助函數(shù)繼續(xù)用動(dòng)態(tài)跟蹤的方法去理解那些輔助函數(shù)的作用并用注釋標(biāo)明。這個(gè)過(guò)程就像考古將動(dòng)態(tài)執(zhí)行時(shí)觀察到的“活”的現(xiàn)象與靜態(tài)的“死”代碼一一對(duì)應(yīng)起來(lái)逐漸拼湊出完整的邏輯圖。6.3 算法識(shí)別與模擬通過(guò)靜態(tài)分析和動(dòng)態(tài)日志你需要總結(jié)出算法的步驟參數(shù)排序簽名通常要求所有參數(shù)按字典序排序。拼接規(guī)則參數(shù)名和值以連接參數(shù)之間以連接最后可能拼接一個(gè)固定密鑰或從Cookie/本地存儲(chǔ)獲取的token。哈希算法對(duì)拼接后的字符串進(jìn)行哈希MD5、SHA1、SHA256等。在代碼中尋找CryptoJS.MD5、createHash(‘md5’)等特征或者尋找包含0123456789abcdef常量、位移運(yùn)算、模運(yùn)算 0xff的代碼塊這可能是MD5的實(shí)現(xiàn)。二次處理哈希結(jié)果可能再被Base64編碼、截取特定長(zhǎng)度、或與時(shí)間戳等進(jìn)行二次計(jì)算。 對(duì)于__cgiDecrypt可能是AES、DES或自定義的XOR流加密。尋找CryptoJS.AES.decrypt、createDecipheriv等關(guān)鍵詞或者尋找涉及S-Box置換盒的復(fù)雜循環(huán)。7. 常見(jiàn)問(wèn)題排查與實(shí)戰(zhàn)心得7.1 斷點(diǎn)無(wú)法命中或瞬間跳過(guò)原因1代碼被動(dòng)態(tài)加載或eval執(zhí)行。解決方案在Sources面板的“Event Listener Breakpoints”中勾選script相關(guān)的scriptFirstStatement或者在代碼可能被加載的位置使用debugger;語(yǔ)句。原因2反調(diào)試檢測(cè)。一些網(wǎng)站會(huì)檢測(cè)開(kāi)發(fā)者工具導(dǎo)致代碼行為異?；驘o(wú)法調(diào)試。解決方案使用setTimeout包裹debugger語(yǔ)句或使用條件斷點(diǎn)。嘗試在無(wú)痕模式下調(diào)試。使用瀏覽器插件如Disable DevTools Detection。最根本的方法是使用Overrides功能在本地JS文件中刪除或修改反調(diào)試代碼片段。7.2 定位到的函數(shù)內(nèi)部邏輯極度復(fù)雜VMP策略調(diào)整接受無(wú)法完全逆向VMP內(nèi)部邏輯的現(xiàn)實(shí)。采用“黑盒”“Hook”策略。核心目標(biāo)是確定函數(shù)的輸入輸出映射關(guān)系。數(shù)據(jù)收集編寫(xiě)一個(gè)Hook腳本批量、自動(dòng)化地收集該函數(shù)在不同輸入下的輸出。構(gòu)建一個(gè)足夠大的數(shù)據(jù)集。外部模擬如果算法不是強(qiáng)隨機(jī)如依賴時(shí)間戳、隨機(jī)數(shù)嘗試在Node.js環(huán)境中用已知的加密庫(kù)crypto-js,node-forge等根據(jù)觀察到的輸入輸出規(guī)律暴力猜測(cè)或枚舉可能的算法組合。有時(shí)算法只是標(biāo)準(zhǔn)哈希的簡(jiǎn)單變種。7.3 算法依賴瀏覽器環(huán)境變量問(wèn)題簽名算法可能使用了window.navigator.userAgent、window.performance.timing、甚至Canvas指紋等瀏覽器特有信息。解決方案在Node.js復(fù)現(xiàn)時(shí)需要模擬這些環(huán)境。使用puppeteer或playwright這類無(wú)頭瀏覽器庫(kù)是最穩(wěn)妥的它們提供了完整的瀏覽器環(huán)境。如果追求效率可以嘗試在Node.js中全局定義這些變量global.window { navigator: { userAgent: ‘…’ } }但兼容性可能不佳。7.4 簽名或解密算法頻繁變更現(xiàn)實(shí)商業(yè)應(yīng)用的核心加密邏輯會(huì)不定期更新。應(yīng)對(duì)監(jiān)控建立自動(dòng)化腳本定期測(cè)試你的解密方法是否依然有效。模塊化將定位、解密邏輯封裝成獨(dú)立、可配置的模塊。當(dāng)算法變更時(shí)你需要重新執(zhí)行一次“定位-分析”的流程但核心的調(diào)試和Hook工具鏈可以復(fù)用。降級(jí)如果網(wǎng)頁(yè)版防護(hù)太強(qiáng)可以評(píng)估是否有其他數(shù)據(jù)源如移動(dòng)端API可能防護(hù)不同、合作伙伴接口等但這涉及更復(fù)雜的逆向和更高的法律風(fēng)險(xiǎn)。7.5 個(gè)人心得耐心與記錄逆向是一個(gè)極度需要耐心和細(xì)致的工作。我最深刻的體會(huì)是好記性不如爛筆頭。一定要養(yǎng)成隨時(shí)記錄的習(xí)慣。記錄每一個(gè)斷點(diǎn)位置和當(dāng)時(shí)的變量狀態(tài)。保存每一次重要的網(wǎng)絡(luò)請(qǐng)求cURL命令或原始頭信息。對(duì)關(guān)鍵函數(shù)截圖或保存代碼片段。使用思維導(dǎo)圖工具繪制函數(shù)調(diào)用關(guān)系和數(shù)據(jù)處理流程。 建立你自己的“逆向筆記”當(dāng)下次遇到類似問(wèn)題或目標(biāo)網(wǎng)站更新時(shí)這些記錄能幫你快速找回狀態(tài)效率提升不止一倍。逆向不是蠻干是策略、工具和經(jīng)驗(yàn)的結(jié)合。從定位開(kāi)始一步步拆解你總能找到那條通往核心邏輯的路徑。