JS逆向:猿人学爬虫比赛第五题详细题解(上)

Bertha 。 2022-12-19 03:40 285阅读 0赞

### **实战地址** ###

http://match.yuanrenxue.com/match/5

### **抓包分析** ###

地址栏输入 地址，按下F12并回车，发现数据接口在这里:

![format_png][]

按照常规，康康加密参数及cookie字段:

![format_png 1][]

加密参数是 m 和 f, 看起来像 时间戳。

cookie中包含了 **m** 和 **RM4hZBv0dDon443M** 字段，多次翻页后发现 **RM4hZBv0dDon443M** 字段名不会改变，因此我们从这个字段名入手。

控制台 有一段 嘲讽 在不断的打印，右边有个VM,如图:

![format_png 2][]

这么好的东西，我们怎么能轻易放过。我问过题主，为啥加一段日志在这里，他说一是为了嘲讽，二是告诉大家入口点。

在VM处点进去并格式化代码后，仿佛发现了新大陆:

![format_png 3][]

在这里搜索**RM4hZBv0dDon443M** 试试，发现了仅有的一处，在这里:

![format_png 4][]

后面的 "; path=/" 告诉我，这里是设置cookie，打个断点验证下:

![format_png 5][]

(注意，需要先清除掉cookie和缓存，再刷新。)

可以看到，程序断在了这里,控制台分别输入:

![format_png 6][]

果然是 设置cookie的语句，不过现在的值还是undefined，多执行几次，就能看到值了:

![format_png 7][]

取消断点，让程序彻底跑起来，比对cookie值，发现是一样的:

![format_png 8][]

加密地方知道了，现在就看 **\_$8K\['\_$ss'\]** 这个值是哪里生成的了，搜索'\_$ss' 发现搜索不到，因为 \_$8K 是window这个对象，所以这个时候可以用 油猴脚本来Hook，不过我对还原这段被混淆了的代码更感兴趣，既然学过AST，不用，那学来干嘛呢？

### **混淆代码还原** ###

**还原点一，大数组的还原**，变量\_$ev:

![format_png 9][]

变量\_$UH:

![format_png 10][]

这两个变量其实是同一个，那更方便了:

![format_png 11][]

控制台输入 \_$UH 发现有 854个元素，使用copy函数有个抗，因为元素包含了window对象，直接复制会有问题。这里我使用了slice方法，分段copy。还原后部分代码如下:

![format_png 12][]

**还原点二，VariableDeclarator初始值替换**:

替换前:

![format_png 13][]

替换后:

![format_png 14][]

**还原点三，BinaryExpression计算值替换**:

替换前:

![format_png 12][]

替换后:

![format_png 15][]

当然，上图中的

'_$' + "cs7"[0x1] + "cs7"[0x1]

这也是可以进行替换的，替换的结果就是:

![format_png 16][]

也就是一直要在的加密值生成的地方。

还原的差不多了，可以看到 **\_$8K\['\_$ss'\]** 这个值 是AES加密后的结果。

静态分析找加密位置，已告一段落。逆向的方法，将在下篇进行介绍，敬请期待。

[format_png]: /images/20221120/5184ee6154e94174835ce9f53aa676f5.png
[format_png 1]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92TEFRQkE5cWJNZ2IzcExwOXVnSFB5NVFOOGc5OENUYktwRE5nRTd0YWxjSDJzV0ZLdklKSUJMQS82NDA?x-oss-process=image/format,png
[format_png 2]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92THcyZ0pRTmRXR2liWHE1NlNoV3d2M0E4SmJUZFN0QUhJMmRpYXEzUWljR2xUT2ZuREIwbVFFRU1VQS82NDA?x-oss-process=image/format,png
[format_png 3]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92THdORWJxazl0cDNjN1BuMnpudzNTWmlhVVlPbFo3Sm9CaWI4bWRUeFp5bDBrZnBIWUdzSVFYNVJBLzY0MA?x-oss-process=image/format,png
[format_png 4]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92TFVkYzB4RElHUHZQbnNIa2p4ZUpRYUZ3c2RsajZKSHhQT2RyQzZpYVhEbEp5cklGU1pRd2lha1hRLzY0MA?x-oss-process=image/format,png
[format_png 5]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92TG9tcWljS3RnMUxJZ2U0R2prYWljOGRJN0oxUUhxRWJtYjF6eXFON0t3OWN4YVYyTWVpY095d3l0US82NDA?x-oss-process=image/format,png
[format_png 6]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92TG9PcXNNd1BTYk1mMG9ScmtsZjJzcU45dXA1cWliM0pYZlBaZ01KcnZFZkRlR1FGQWlieW9Sd05RLzY0MA?x-oss-process=image/format,png
[format_png 7]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92TEtlWlIxQmhjaWE3Z3lNOFNiRkhnVlpXVEltYUpoYkRWc2xWM2ljRVhqRG91ZnA4b0VlT3U4Z3h3LzY0MA?x-oss-process=image/format,png
[format_png 8]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92TDhIZXRzZGljRk1jNUJPcW1aSnp4WWsyNG5BVUF4VWRNZTNaZ0tJZjdMME9vWlY3NlBSUUl2YmcvNjQw?x-oss-process=image/format,png
[format_png 9]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92THVpYnlnRkNpYTQ4WWVqSVZZRW1JaWE1Y3ZucVNlblZIUDRpYjBNWUlYSHEyaERzWHROVlVjUW5DdEEvNjQw?x-oss-process=image/format,png
[format_png 10]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92THo3NENtdzNlMjZSRk1BbUNpYkdJTUZBSHNIVTV2RnVpYzFvclkxek56MzZtd0k2SE5saFJHRE5RLzY0MA?x-oss-process=image/format,png
[format_png 11]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92TFA3ODEwTUh4UDVvb1VpYUF2NFFXRTc0aFVFOXp0cXJjWlFzQTBrTmlhODQ2cmFRcDM1c0RzM3FRLzY0MA?x-oss-process=image/format,png
[format_png 12]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92TGZQM0FRaHhBUHRBazE2T3VnaWF5Vzdxc3lNYnhVM2ljeUgzTW1UVFU2OEc0bFlSOVZRaWFLdEZNUS82NDA?x-oss-process=image/format,png
[format_png 13]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92TGliaWFZTHJiVm1pYjBydlJtUTF3aWF1NlUxREVnaWJ3RFZmZ0ZvcTlHeThHdGFJd2g2ZG11aWFUT2lhTWcvNjQw?x-oss-process=image/format,png
[format_png 14]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92TFZQU2hxNUhZRlBrRFkwWk5qRmpveG5LNURLd1NpY2FMZ1VBV2drc0JCMnA3aWNwNzI0dnhtQ1VRLzY0MA?x-oss-process=image/format,png
[format_png 15]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92TGpDemhVR0NCN0R3QXZUc25nOU80aERtajFDOGJjQXVZaFFXaWJkSndpYmRyZnltZE5JaWFsOTU1US82NDA?x-oss-process=image/format,png
[format_png 16]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM2hxVlhtYzFvazE0VFhyS2hPVU92TGxhNWlhOWJNaWNlUVFsQ0hPYkp5M0k5cVU4M2ljQUh4VlhnaDZvVktQV0hpY3RCUjZEazk5SGpyUUEvNjQw?x-oss-process=image/format,png