【JS逆向】某验三代点选逆向分析-WEB安全-看雪安全社区

# 某验3代点选逆向分析

***本文章中所有内容仅供学习交流使用，不用于其他任何目的，不提供完整代码，抓包内容、敏感网址、数据接口等均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关.本文章未经许可禁止转载，禁止任何修改后二次传播，擅自使用本文讲解的技术而导致的任何意外，作者均不负责***

### 逆向目标

站点：aHR0cHM6Ly93d3cuYmlsaWJpbGkuY29tLw==

目标：某某验点选

配套视频：<a href="elink@123K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2T1K9h3I4A6j5X3W2D9K9g2)9J5k6h3y4G2L8g2)9J5c8Y4k6A6k6r3g2G2i4K6u0r3b7W2j5I4e0r3#2j5d9#2W2e0c8g2u0A6">视频</a>

### 抓包分析

提前打开F12，进入网站点击登录，手动点错一次提交后，观察发包：

![在这里插入图片描述](upload/attach/202503/1011762_4R9XSC6XB8XJ38K.png)

这5次请求为核心请求，依次分析。

#### 1. gettype.php

![在这里插入图片描述](upload/attach/202503/1011762_3Q79WJ764JFWDK2.png)

发现其主要参数为`gt`，且能搜索到是来自于`capthca`这个接口，再看看这个接口有什么：

![在这里插入图片描述](upload/attach/202503/1011762_67YH3AWMWZ3E68T.png)

观察主要返回这些内容，在接下来的流程中可能会用到。

#### 2. get.php

响应内容：返回了很多字段，可能后续有用

![在这里插入图片描述](upload/attach/202503/1011762_CVNXX2TUQ3WRWT8.png)

请求参数：`gt`,`challenge`上一步我们已经拿到。`w`看起来似乎要处理。

![在这里插入图片描述](upload/attach/202503/1011762_4TRFD4VRMSWA4BD.png)

#### 3. ajax.php

这里就不贴图了，跟第2步的请求参数一样，可能要处理`w`。至于响应内容，则返回的是当前验证码类型：

```json
{"status": "success", "data": {"result": "click"}}
```

#### 4. get.php

响应内容：`pic`返回了图片，以及一些字段后续可能用到

![在这里插入图片描述](upload/attach/202503/1011762_CM24TFYUNJT335G.png)

请求参数：没有需要特别处理的，此前全都能取到。

![在这里插入图片描述](upload/attach/202503/1011762_D27KS6DRE9QQD8R.png)

#### 5. ajax.php

响应内容：返回fail，正是点击失败的返回，这一步就是去验证验证码了

~~~json
{
    "status": "success",
    "data": {
        "result": "fail",
        "msg": []
    }
}
~~~

请求参数：除了`w`，其他参数并无特别

![在这里插入图片描述](upload/attach/202503/1011762_GAFEEZ4MF47B2XX.png)

### 流程分析

以上5次请求，发现`2`，`3`，`5`三个步骤中都有w需要处理，目标则为逆向w值。先说结论，实测下来其实`2`，`3`步骤中的w并不校验，本次不分析，着重于分析最后一步提交验证码的w参数分析。

### 逆向分析w

#### 1. 定位js

先大概看看调用栈，发现都来自于`click.3.1.1.js`这个文件，那目标明确。

![在这里插入图片描述](upload/attach/202503/1011762_32Z8XDMBRWB5U5W.png)

发现有大量这种调用，显然是个混淆。

![在这里插入图片描述](upload/attach/202503/1011762_6MVCX5UUSKG8VUY.png)

我的习惯是面对这种混淆，优先看看AST还原一部分，便于调试。

#### 2. AST还原

将js拿出来放到vscode收起来观察，4个大方法，一个自执行方法，并不是传统的OB混淆

![在这里插入图片描述](upload/attach/202503/1011762_F7VJM46WJJD73WH.png)

尝试拿自执行方法中的某个调用，来本地执行打印，发现没问题能正常出值。整个自执行的方法中包含大量`$_CFAn(86)`这种类型调用，结合我们本地能执行的情况，也就是说其实跟OB中的解密函数也差不多一个意思，那就好办了。

AST思路，详细过程在：<a href="elink@e12K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2T1K9h3I4A6j5X3W2D9K9g2)9J5k6h3y4G2L8g2)9J5c8Y4k6A6k6r3g2G2i4K6u0r3b7W2j5I4e0r3#2j5d9#2W2e0c8g2u0A6">视频</a>

> 1. 将unicode编码还原字符串
> 2. 将解密函数调用还原
> 3. 移除无用代码(基于能正常调试了，这一步我没做)

#### 3. debug调试

将还原后的js本地替换浏览器js后，直接搜索参数之一`client_type`可以直接定位到目标，接下来开始繁杂的debug

![在这里插入图片描述](upload/attach/202503/1011762_KTY7V9AP7CU6ASA.png)

可以看到`w = p + u`，`u = n["$_CDGJ"]()`，`p = w["$_EEn"](h)`，而`h = X["encrypt"](ae["stringify"](o), n["$_CDHy"]())`。

#### 4. u逆向

那就先看u吧。跟进 `n["$_CDGJ"]()`看看。

![在这里插入图片描述](upload/attach/202503/1011762_SVECD9385JGV5KF.png)

`混淆部分`在视频中有讲理解，就是赋值新变量+concat+取值，由于我们已经AST处理掉了，这一部分就属于无用代码，后续分析其他方法看到这种直接不用管就是。

得益于解混淆后，直接就能跟到：

~~~javascript
var t = new H()["encrypt"](this["$_CDHy"](e));
~~~

e是undefined，不用管；

需要再看`new H()["encrypt"]` 和 `this["$_CDHy"](e)`。分别往下看

##### 1. `this["$_CDHy"](e)`

![在这里插入图片描述](upload/attach/202503/1011762_G7D3S7FXR3JASY3.png)

跟进来发现主要逻辑有来自于`ve = Q()`，继续往下跟：

![在这里插入图片描述](upload/attach/202503/1011762_WYEWTTH6DRJYGP3.png)

![在这里插入图片描述](upload/attach/202503/1011762_8VVRRJ4UB7P8RSD.png)

结论：

~~~javascript
this["$_CDHy"](e) = e() + e() + e() + e();

function e() {
    return (65536 * (1 + Math["random"]()) | 0)["toString"](16)["substring"](1)
}
~~~

##### 2. `new H()["encrypt"]`

![在这里插入图片描述](upload/attach/202503/1011762_TRKFRVEWSPPXG2W.png)

发现这个方法是加在k的原型上的，向上找就能找到`var H = function(){}`

![在这里插入图片描述](upload/attach/202503/1011762_PPY7Q9CYPSQ696R.png)

把整个H拿下来，再把4个方法加上，稍微补一补环境，就能搞定。

![在这里插入图片描述](upload/attach/202503/1011762_AGF2GJMKANNTMH9.png)

![在这里插入图片描述](upload/attach/202503/1011762_GS5N2R7CEATEYEZ.png)

跟网站生成的值一对比，发现不一样，其实也正常，这个算法是rsa，非对称加密，也可以用标准库去解决试试，反正这里我已经扣下来js了就这样不管了。

到这里，u已经搞定。

#### 5. p逆向

重头戏来了，这里p的组成比较复杂，需要逆向的值有好几个。

![在这里插入图片描述](upload/attach/202503/1011762_KHCX9GDGEQT732A.png)

`X["encrypt"](ae["stringify"](o), n["$_CDHy"]())`

p来自于h，那先解决h。观察`n["$_CDHy"]()`的值跟上一步一样，其实也就是一个加密key值，流程如下：

> 1. 先e() + e() + e() + e()生成一个字符串，作为明文来rsa加密
> 2. 接下来的所有需要用到这个明文值的地方，都保持为第一次生成的

所以h的重点在于`X["encrypt"]`和`(ae["stringify"](o)`以及`o`是什么，那就一个个来，先看o

##### 1. o

o的组成很复杂，有这么多东西

> a：其实是点击的坐标，但经过处理
>
> ep：看起来像轨迹和环境
>
> h9s9：可能要逆向
>
> lang、pic：固定或者之前能取到
>
> rp、tt：不知道含义，要逆向

![在这里插入图片描述](upload/attach/202503/1011762_FTM34SQXX2CENH8.png)

##### 2. `ae["stringify"]`

其实就是JSON.stringify，直接改写就好

##### 3. `X["encrypt"]`

跟进去看看，跟之前u的 `var H = function(){}` 一样，直接把整个`var X = function(){}` 拿出来。这里先不贴图，先往下解决再一起看

![在这里插入图片描述](upload/attach/202503/1011762_CH9HD4X8Y6BPTXY.png)

到此，h就搞定了，接下来看看p的逻辑。

![在这里插入图片描述](upload/attach/202503/1011762_TX2HPVBDBHH9B4N.png)

本质上是调用的`this["$_ECS"](e)`

![在这里插入图片描述](upload/attach/202503/1011762_RZWQHN96YH69UBR.png)

![在这里插入图片描述](upload/attach/202503/1011762_RX5MXCNU8J5X8CT.png)

`$_ECS`是属于`w = {}`，把整个w拿下来，再把之前`var X = function(){}`拿下来，最终js如下：

![在这里插入图片描述](upload/attach/202503/1011762_774RTFG62JJ9S78.png)

运行后与网站生成的对比，值一致

![在这里插入图片描述](upload/attach/202503/1011762_88NZPYPMW3A52C6.png)

到此，p也搞定。但o中还有好几个参数没处理，继续逆他，累鼠了。

多提一嘴其实这里是aes加密，不过我试过用标准库来解，发现解后的数组跟网站的值对不上，就索性直接扣了，应该是漏了啥，本人对密码学属实不了解

#### 6. o逆向

o有以下字段，实际需要逆向的是a，rp，tt，其他的固定即可，不校验，不过其实也可以跟，大概说下我的理解：

>a:点击坐标，要特殊处理
>
>ep:鼠标移动的全部轨迹，还有一些浏览器事件的环境
>
>h9s9:看其他大佬描述为每天变化的值，实际测下来这个值好几天没变了，固定即可
>
>passtime:点击耗时，随机就行
>
>rp、tt:含义未知，逆他就完事

![在这里插入图片描述](upload/attach/202503/1011762_W3W4EE5E34GK25G.png)

##### 1. a

先看看a吧。在w的位置向上看，定位到a的逻辑，发现是参数过来的，那就下断再往前的栈跟

![在这里插入图片描述](upload/attach/202503/1011762_NUSJCVYEWMN6AR4.png)

向前跟一个栈就能看到`a`其实来自于`n["$_BJGs"]["$_EJC"]()`，继续向前跟。

![在这里插入图片描述](upload/attach/202503/1011762_JAYH6HF38GG634Y.png)

发现其实来自于`e["$_CEFZ"]`

![在这里插入图片描述](upload/attach/202503/1011762_MZVK4DWWFRQMQJ3.png)

搜一下"$_CEFZ"，发现又来自于t，t在上一个栈，再跟

![在这里插入图片描述](upload/attach/202503/1011762_PS2TJ2D34TYATCG.png)

跟到这里了，下断点刷新在跟

![在这里插入图片描述](upload/attach/202503/1011762_A325C9V9PEX629H.png)

如下分析下：

![在这里插入图片描述](upload/attach/202503/1011762_NM6QRJQ39PJ9YUH.png)

那就好办了，a的逻辑是这样：

~~~javascript
var x1 = Math["round"](100 * Number(x));
var y1 = Math["round"](100 * Number(y));
var a = x1 + '_' + y1
~~~

##### 2. tt

![在这里插入图片描述](upload/attach/202503/1011762_29ZYA82CYF9TF9Z.png)

tt方法传参3个，`s = n["$_BHIA"]["$_BGBn"]()`，`r["c"], r["s"]`来自于接口返回，至于s的逻辑就自己跟下好了，跟之前流程一样的

##### 3. rp

rp就是`r["gt"] + r["challenge"] + o["passtime"]`做个md5，可以扣也可以库还原

![在这里插入图片描述](upload/attach/202503/1011762_BUDC877KYAUZSQE.png)

到这里，所有参数全部搞定，至于o.ep等之类的，网站自己抓一个写死即可。

### 验证

没毛病

![在这里插入图片描述](upload/attach/202503/1011762_B9TT44VVMZ5BZ79.png)

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-3-26 20:51 被ShriyGo编辑，原因：

最新回复 (28) 1 2 ▶
天道happy 雪币： 227 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 24 粉丝 0 关注私信	天道happy 2 楼学习了 2025-3-27 09:22 0
mb_vhiewfoc 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_vhiewfoc 3 楼感谢分享 2025-3-27 10:32 0
mb_ajxntfzc 雪币： 3184 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 49 粉丝 0 关注私信	mb_ajxntfzc 4 楼谢谢分享 2025-3-27 16:08 0
aopo 雪币： 209 活跃值： (89) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	aopo 5 楼曾经研究过最终难的不是js逆向及算法分析难的是轨迹处理从鼠标进入浏览器区域后的真实轨迹到轨迹二次跳跃处理到参与加密他们的后端应该是具备一定学习能力的即使生成的轨迹可以过验证一段时间后就会失效需要不停的改变算法去模拟轨迹最终懒得去折腾了 2025-3-28 16:15 0
ShriyGo 雪币： 414 活跃值： (818) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 12 粉丝 17 关注私信	ShriyGo 6 楼 aopo 曾经研究过最终难的不是js逆向及算法分析难的是轨迹处理从鼠标进入浏览器区域后的真实轨迹到轨迹二次跳跃处理到参与加密他们的后端应该是具备一定学习能力的即使生成的轨迹可以过验证一段时间后就会失 ... 是的应用起来要处理的风控还多着呢 2025-3-28 16:32 0
zylyy 雪币： 144 活跃值： (2738) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 491 粉丝 3 关注私信	zylyy 7 楼感谢分享 2025-3-28 16:36 0
百事可乐就好雪币： 1867 活跃值： (1481) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	百事可乐就好 8 楼 666 2025-3-30 21:45 0
上单张合雪币： 172 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	上单张合 9 楼 666 2025-4-1 09:50 0
mb_uokrnlrg 雪币： 1237 活跃值： (1535) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	mb_uokrnlrg 11 楼 666 2025-4-1 20:39 0
mb_dqwgdsem 雪币： 77 活跃值： (1283) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 41 粉丝 1 关注私信	mb_dqwgdsem 12 楼学习了 2025-4-2 16:06 0
mb_worhxlaz 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_worhxlaz 13 楼 666 2025-4-9 07:08 1
mb_gxfvzbud 雪币： 7 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_gxfvzbud 14 楼感谢分析 2025-4-22 10:45 0
mb_uvyukvot 雪币： 209 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 144 粉丝 1 关注私信	mb_uvyukvot 15 楼感谢分析 2025-5-15 14:03 0
mb_tnqoqsdv 雪币： 0 活跃值： (2154) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 61 粉丝 1 关注私信	mb_tnqoqsdv 16 楼看看啊宝贝的 2025-5-16 06:14 0
gusong 雪币： 334 活跃值： (897) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 74 粉丝 1 关注私信	gusong 17 楼感谢大佬分享 2025-5-26 11:18 0
git_34843woshi1q1q 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	git_34843woshi1q1q 18 楼感谢分享 2025-6-9 16:43 0
xiaohaozai 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	xiaohaozai 19 楼学到了 2025-7-25 18:29 1
lishua 雪币： 898 活跃值： (460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 70 粉丝 0 关注私信	lishua 20 楼学习一下 2025-7-30 09:46 0
mb_guuipucb 雪币： 1670 活跃值： (165) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_guuipucb 21 楼学习一下 2025-8-14 15:34 0
SuEmiya 雪币： 218 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 6 粉丝 2 关注私信	SuEmiya 22 楼学习一个 2025-8-16 18:25 0
mb_zebbrtwz 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_zebbrtwz 23 楼学习一个 2025-10-30 16:53 0
烬奇小云雪币： 762 活跃值： (3649) 能力值： ( LV3，RANK：20 ) 在线值：发帖 7 回帖 83 粉丝 18 关注私信	烬奇小云 24 楼 666 2025-11-20 17:31 0
RockHat 雪币： 224 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	RockHat 25 楼感谢分享！！ 2025-12-2 16:08 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复