发票查验之逆向分析

淩亂°似流年 2023-10-13 20:24 19阅读 0赞

aHR0cHM6Ly9pbnYtdmVyaS5jaGluYXRheC5nb3YuY24v

首先分析包，一共两个包

1.获取验证码

[https://fpcy.hebei.chinatax.gov.cn/NWebQuery/yzmQuery][https_fpcy.hebei.chinatax.gov.cn_NWebQuery_yzmQuery]![3210bde12f754ce4a2fe1f4bece62ba3.png][][https://fpcy.hebei.chinatax.gov.cn/NWebQuery/yzmQuery][https_fpcy.hebei.chinatax.gov.cn_NWebQuery_yzmQuery]

参数如上

2.查验

[https://fpcy.hebei.chinatax.gov.cn/NWebQuery/vatQuery][https_fpcy.hebei.chinatax.gov.cn_NWebQuery_vatQuery]![54bb0b0017cd48bc8564ff9fb3cf6719.png][][https://fpcy.hebei.chinatax.gov.cn/NWebQuery/vatQuery][https_fpcy.hebei.chinatax.gov.cn_NWebQuery_vatQuery]

下面分析签名参数

打开这个网站，F12，发现存在反调试

![2ebb4a57304e4815af30a06f3e49c506.png][]

这个JS混淆一看就能看出来是sojson混淆的，先解混淆然后，去掉反调试部分代码，再使用谷歌插件或者抓包工具替换JS即可，具体就不说了，会AST的，应该不难。

![0aa7d887bab44f6798ee86ca5973ff77.png][]

key9

![85077518b4334df2a59ad4f8e4c06d6f.png][]

页面直接搜key9，发现两处，对比参数，应该一个是获取验证码的，一个是查验的。这个解混淆后直接扣出代码即可，需要对比本地签名生成和线上是否一致，如果签名是变得，需要固定参数，当然使用二分法对比调试也是个不错的方法。

key6 这个去掉反调试后，调试下就行，不难

flwq39 这个参数在发包时并没有这个参数，那就是请求被拦截了，拦截后加上了这个参数。

找到发包位置，发现是通过ajax发包拦截的，并且window.XMLHttpRequest.prototype.open并没有被复写，那很可能使用了jquery ajax进行拦截，百度发现了下面拦截方式

![ec41752ec94048c1aed75e9b0f6dcd26.png][]

然后发现了关键字beforeSend，然后页面搜索beforeSend发现没有搜索到，那一个可能是被混淆了，一个可能是在VM中。

那首先检查VM中代码，发现有这个代码。

![f13389d4247848969cf949bd870768a1.png][]

去掉反调试解混淆，调试这里，就找到了flwq39生成位置，扣出来就行。

这个验证码不难ORC识别，就是需要样本量比较大。

如有需要，请私信。

xObP8s/gudi/zrPMoaJKU7K5u7e+s7/Os8yhokpBVkHP4LnYv86zzMjn0OjSqtKyv8nS1MGqz7VRUaGjDQoNCtf31d8gUVEgNDA0NTQwMjI5

**纯技术交流，请勿用于非法用途,如有权益问题可以发私信联系我删除.**

[https_fpcy.hebei.chinatax.gov.cn_NWebQuery_yzmQuery]: https://fpcy.hebei.chinatax.gov.cn/NWebQuery/yzmQuery?callback=jQuery36106596323350227311_1689755172929&fpdm=013202210211&fphm=12345678&r=0.1706751529975672&v=2.0.13_050&nowtime=1689756187297&publickey=1689756187297&key9=0a23024dcf20b06dea47ee690449ceb0&_=1689755172932&flwq39=UfWae5jbbG1fd9EO482qjmR%2BxunxMx4Mqrj0xzuO0myKcUttZ4i9wL1Ocp6n9USaVHrZGeeIx0ihK9oLrv%2BOZKE0cCLB2chpcmh%2FYwzmlganxB2sy4IU501xwxCI8SPHc7bsu0L106gu%2BFKjzGqZE1r2mFf8N%2Fv2fyUe4KK23VY%3D
[3210bde12f754ce4a2fe1f4bece62ba3.png]: https://img-blog.csdnimg.cn/3210bde12f754ce4a2fe1f4bece62ba3.png
[https_fpcy.hebei.chinatax.gov.cn_NWebQuery_vatQuery]: https://fpcy.hebei.chinatax.gov.cn/NWebQuery/vatQuery?callback=jQuery36106596323350227311_1689755172929&key1=013202210211&key2=12345678&key3=20230712&key4=123456&fplx=10&yzm=2TCD&yzmSj=2023-07-19%2016%3A43%3A46&index=c7a4ae82fa44a0744ed32b05aae051fe&key6=8ae8e4778924ec1701896d514c184cf8&publickey=2023-07-19%2016%3A43%3A46&key9=717962d81efd6360f62d63492deb604d&_=1689755172933&flwq39=VZbyvL0oZrzEjnt4FCjRb1Ij6zzwToDpsSAlzlzT%2FnN38oFyPSMTQvVDsqiKtAUGCvdb2Lp6S0gh0j4UX7kgopDWk9K8MD%2FwD9MJM4fC8SniPh6gFB4H3U0fQup24ltHQRGPiNqBWYrEJnsN23VHt%2FBYi719LgPTH8iwLWzNH%2Fo%3D
[54bb0b0017cd48bc8564ff9fb3cf6719.png]: https://img-blog.csdnimg.cn/54bb0b0017cd48bc8564ff9fb3cf6719.png
[2ebb4a57304e4815af30a06f3e49c506.png]: https://img-blog.csdnimg.cn/2ebb4a57304e4815af30a06f3e49c506.png
[0aa7d887bab44f6798ee86ca5973ff77.png]: https://img-blog.csdnimg.cn/0aa7d887bab44f6798ee86ca5973ff77.png
[85077518b4334df2a59ad4f8e4c06d6f.png]: https://img-blog.csdnimg.cn/85077518b4334df2a59ad4f8e4c06d6f.png
[ec41752ec94048c1aed75e9b0f6dcd26.png]: https://img-blog.csdnimg.cn/ec41752ec94048c1aed75e9b0f6dcd26.png
[f13389d4247848969cf949bd870768a1.png]: https://img-blog.csdnimg.cn/f13389d4247848969cf949bd870768a1.png