【JS逆向百例】金山词霸翻译逆向分析

原创

K哥爬虫

发布于 2024-03-04 11:09:11

1970

发布于 2024-03-04 11:09:11

声明

本文章中所有内容仅供学习交流使用，不用于其他任何目的，不提供完整代码，抓包内容、敏感网址、数据接口等均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关！

本文章未经许可禁止转载，禁止任何修改后二次传播，擅自使用本文讲解的技术而导致的任何意外，作者均不负责，若有侵权，请在公众号【K哥爬虫】联系作者立即删除！

前言

今天在查看某平台私信的时候，发现有位粉丝表示自己在逆向某站的过程中，有一些疑惑，态度十分友好，K哥一向是尽力满足粉丝需求的，本文就对该站进行逆向研究，该案例不难，不过为了便于粉丝理解，会写的相对详细点，大佬们直接跳过就可以了~

逆向目标

目标：某词霸翻译，sign、content 参数逆向分析
网址：aHR0cHM6Ly93d3cuaWNpYmEuY29tL3RyYW5zbGF0ZQ==

抓包分析

进入翻译页，左边输入查询单词，右边即会翻译出中文释义，很显然通过接口传输的数据：

F12 打开开发者人员工具，重新输入一个英文单词，比如 ratel，进行抓包，/index.php 接口的 Form Data 中有个 q 参数，很明显，就是我们输入的待翻译的英文单词，请求参数 sign 是经过加密的：

Payload：请求中携带的实际数据部分；
Query String Parameters：URL 中的查询字符串部分所包含的参数；
Form Data：HTTP 请求中发送数据的方式，通常用于提交表单数据。

那么，响应返回的自然就是翻译后的中文释义，点到 Preview 响应预览中查看一下，发现并没有出现想象中的蜜罐两字，显然 content 就是翻译结果，只不过被加密处理了：

接下来，我们分别对 sign 参数和 content 参数进行逆向分析。

逆向分析

sign 参数

定位的方式有很多，由于该接口是 XHR（XMLHttpRequest）类型的请求，我们可以直接下个 XHR 断点，这样定位到的位置通常在加密处理完成之后，已经准备发送请求了，优点是便于踪栈，更容易找到加密的地方：

在开发者人员工具 Source 面板右侧的 XHR/fetch Breakpoints 中添加截取的接口 URL：

重新输入单词，即会断住，可以看到，此时 sign 参数已经生成了：

向上跟栈到 takeRusult 中，以下部分中，看起来相当像在拼接 sign 参数：

// encodeURIComponent —> 将特殊字符（例如冒号、斜杠、问号、等号、以及非 ASCII 字符）转换成 UTF-8 编码的十六进制表示
"/index.php?c=trans&m=fy&client=6&auth_user=key_web_new_fanyi&sign=".concat(encodeURIComponent(r))

在该行打下断点，释放掉 XHR 断点，重新输入查询单词即会断住，encodeURIComponent(r) 就是 sign 值：

看看 r 参数是什么，就定义在上面：

r = (0, _.$Q)(r)

断到该行，先选中 _.$Q，跟进去，看看是什么加密算法：

很明显的 AES 加密，mode 为 ECB，padding 为 PKCS7，key 是经过一系列编码得到的，为定值 L4fBtD5fLC9FQw22：

mode：加密模式，ECB 是一种基础的加密方式，密文被分割成分组长度相等的块（不足补齐），然后单独一个个加密，一个个输出组成密文；
padding：填充方式，PKCS7 在填充时首先获取需要填充的字节长度 = 块长度 - （数据长度 % 块长度），在填充字节序列中所有字节填充为需要填充的字节长度值；
相关文章阅读：【爬虫知识】爬虫常见加密解密算法。

直接引库复现即可：

// 引用 crypto-js 加密模块
const CryptoJS = require('crypto-js')

function aesEncrypt(aesKey, text) {
    let key = CryptoJS.enc.Utf8.parse(aesKey),
        srcs = CryptoJS.enc.Utf8.parse(text),
        // ECB 加密方式，Pkcs7 填充方式
        encrypted = CryptoJS.AES.encrypt(srcs, key, {
            mode: CryptoJS.mode.ECB,
            padding: CryptoJS.pad.Pkcs7
        });
    return encrypted.toString();
}

// 结果验证
let aesKey = 'L4fBtD5fLC9FQw22';
let text = '679eddc40bc55be3'
let encryptResult = aesEncrypt(aesKey, text);
console.log(encryptResult);

再来分析下 (0, _.$Q)(r) 中的 r，定义在上一行，内容如下：

var r = u()("6key_web_new_fanyi".concat(s.LI).concat(t.q.replace(/(^\s*)|(\s*$)/g, ""))).toString().substring(0, 16);

逐段分析一下这部分：

.toString().substring(0, 16) ：将之前部分转为字符串后，截取了前 16 个字符；
s.LI ：定值 6dVjYLFyzfkFkk；
6key_web_new_fanyi6dVjYLFyzfkFkkratel： 6key_web_new_fanyi + 6dVjYLFyzfkFkk + 查询单词；

关键就在于这部分了：

u()("6key_web_new_fanyi".concat(s.LI).concat(t.q.replace(/(^\s*)|(\s*$)/g, ""))).toString()

这一段将 6key_web_new_fanyi6dVjYLFyzfkFkkratel 加密了，长度为 32 位：

32 位就比较特别了，根据经验，猜测是 MD5 加密，去 www.kgtools.cn 验证一下，果然，结果一致：

当然还可以搜索 MD5 摘要算法源码中的一些特征，1732584193、4023233417 之类的，大多数都是标准的算法，MD5 算法的源码可于公众号回复关键词 MD5 获取：

完整算法：

// 引用 crypto-js 加密模块
const CryptoJS = require('crypto-js')

function aesEncrypt(aesKey, text) {
    let key = CryptoJS.enc.Utf8.parse(aesKey),
        srcs = CryptoJS.enc.Utf8.parse(text),
        // ECB 加密方式，Pkcs7 填充方式
        encrypted = CryptoJS.AES.encrypt(srcs, key, {
            mode: CryptoJS.mode.ECB,
            padding: CryptoJS.pad.Pkcs7
        });
    return encrypted.toString();
}

function getSign(){
    let searchWord = 'ratel'
    let aesKey = 'L4fBtD5fLC9FQw22';
    let concatSearchParams = '6key_web_new_fanyi' + '6dVjYLFyzfkFkk' + searchWord;
    let md5EncryptResult = CryptoJS.MD5(concatSearchParams).toString().substring(0, 16);
    let sign = aesEncrypt(aesKey, md5EncryptResult);
    return encodeURIComponent(sign);
}

console.log(getSign());  // C0W0FqJdhxUeFmgdJ162GdRriqVIAJSQ%2BxmfU0q7dIE%3D

当然，也可以直接使用 Python 复现：

import base64
import hashlib
import urllib.parse
from loguru import logger
from Crypto.Cipher import AES
from Crypto.Util.Padding import pad


def aes_encrypt(aes_key: str, text: str) -> str:
    key = aes_key.encode('utf-8')
    srcs = text.encode('utf-8')
    cipher = AES.new(key, AES.MODE_ECB)
    # 在加密之前进行填充
    padded_data = pad(srcs, AES.block_size)
    encrypted = cipher.encrypt(padded_data)
    # 返回 base64 编码后的密文
    return base64.b64encode(encrypted).decode('utf-8')


def get_sign() -> str:
    search_word = 'ratel'
    aes_key = 'L4fBtD5fLC9FQw22'
    concat_search_params = '6key_web_new_fanyi' + '6dVjYLFyzfkFkk' + search_word
    md5_encrypt_result = hashlib.md5(concat_search_params.encode()).hexdigest()[:16]
    sign = aes_encrypt(aes_key, md5_encrypt_result)
    return urllib.parse.quote(sign)


logger.info(get_sign())  # C0W0FqJdhxUeFmgdJ162GdRriqVIAJSQ%2BxmfU0q7dIE%3D

content 参数

我们来看看 takeResult 的结构，这就是一个异步操作链：

takeResult: function (e) {
    ........
    v("/index.php?c=trans&m=fy&client=6&auth_user=key_web_new_fanyi&sign=".concat(encodeURIComponent(r)), {
        ........
    }).then((function (e) {
            var t = 1 === (null === e || void 0 === e ? void 0 : e.status) ? A(A({}, e), {}, {
                content: JSON.parse((0,
                    _.B6)(e.content))
            }) : e;
            return console.log(t),
                t
        }
    )).catch((function (e) {
            return e
        }
    ))
}

跟进到 v 函数中，返回了一个 Promise 对象，用于异步处理请求的结果：

Promise.then 用于注册当异步操作成功完成时执行的回调，这里接受了一个参数，即成功时的回调函数：

function (e) {
    var t = 1 === (null === e || void 0 === e ? void 0 : e.status) ? A(A({}, e), {}, {
        content: JSON.parse((0,
            _.B6)(e.content))
    }) : e;
    return console.log(t),
        t
}

大伙应该注意到了，content: JSON.parse((0, _.B6)(e.content))，这里是否就是 content 参数解密还原出释义的算法位置呢？跟进到 _.B6 中去看看，同样是 AES 算法，断住后就会发现，解密的位置确实是这里，out 经过了 Unicode 编码，key 为定值 aahc3TfyfCEmER33：

import base64
from loguru import logger
from Crypto.Cipher import AES
from Crypto.Util.Padding import unpad


def aes_decrypt(ciphertext):
    key = 'aahc3TfyfCEmER33'.encode('utf-8')
    # 将密文进行 base64 解码
    ciphertext = base64.b64decode(ciphertext)
    # 创建 AES 解密器对象
    cipher = AES.new(key, AES.MODE_ECB)
    # 对密文进行解密
    decrypted_data = cipher.decrypt(ciphertext)
    # 对解密后的数据进行去填充操作
    decrypted_data = unpad(decrypted_data, AES.block_size)
    # 返回解密后的明文
    return decrypted_data.decode('utf-8')


content = 'X2NheRsV7GVaBbfK/jxZ6h6rWRz0J268vfthunwKmlJIHB687XwU1lxRMBgI+YF5652luVBNTUhVKvlnLYwMqSstRS4f5IYpz1a9YcYdXa/rXx65frmbDe5TKkih255dl8RwKe97E/JowqGPq1d5qnpm1rhY96/4IBwcpvtQFVgVrvcAP+RyIHOwRAByBR30Pzh9NPptSnQZm/n0/GSpnPbmR1WWZ0v5WOlCsDSYjWgzXOg/54z83oI+Yj/bKoR66YbMab+mmtIXcnhp+Uwb2rCoWF0whrcrbM5CHyCEuZ52pHYJ3cRzPNgFvf6GqoEWgeF4SMo22JYGqDKK6VrhJyCvs1BFAUNdYrsGlLNmlrsQkuYxQlM40/3DTZX4cxav'
logger.info(aes_decrypt(content))

结果验证

原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。

如有侵权，请联系 cloudcommunity@tencent.com 删除。

爬虫

原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。

如有侵权，请联系 cloudcommunity@tencent.com 删除。

爬虫

登录后参与评论

0 条评论

热度