[原创]基于 GLM-5.2 的 X-Gnarly (332位) 纯算还原分析-AI 工具与工作流-看雪安全社区

# 基于 GLM-5.2 的 X-Gnarly (332位) 纯算还原分析

> **目标接口**：`/api/post/item_list`  
> **签名参数**：`X-Gnarly`（332 字符）  
> **SDK 版本**：webmssdk 5.2.1  
> **方法与工具**：fast-spider skills 工作流 + GLM-5.2 辅助分析 + 语义级插桩

---

## 一、背景

在 TikTok Web 端中，访问 `/api/post/item_list` 等核心接口通常需要两个关键的签名参数：
- `X-Bogus`：长度为 28 字符，一般非强制校验。
- `X-Gnarly`：长度为 332 字符，**必须有效**，服务端会对其进行多重深度校验。

`X-Gnarly` 参数由 `webmssdk.js`（byted_acrawler SDK）动态计算生成。由于该 SDK 采用了 **JSVMP**（JavaScript VM Protection）混淆技术，其实际执行算法被编译为约 44KB 的字节码，源码中仅包含解释器内核，静态分析难以直观还原其明文逻辑。

本篇报告记录了如何利用 fast-spider skills 工作流，在 GLM-5.2 的辅助推理下，从 trace 日志中逐步还原出 `X-Gnarly` 的完整生成链路，并完成纯 JavaScript 算法复现的过程。

---

## 二、方法：fast-spider skills + 语义插桩

### 2.1 基础分析工作流

```
初始化环境 (init) → 捕获 SDK (capture) → 制定运行策略 (runbook) → 采集 trace → 逻辑分析 (analyze) → 制定方案 (plan) → 补全算法 (fill) → 对拍校验 (verify)
```

### 2.2 针对 JSVMP 混淆的增强策略

传统的补环境方案（如 FakeEnv 或 Node vm 模拟）在面对该级别的混淆时，往往因为大量未知的浏览器特征检测而难以推进。因此，本方案采用**语义级插桩**思路：

1. **动态插桩脚本**（基于工作流中的 `patch_sdk.js`）：通过源码级特征匹配，定位 `webmssdk.js` 中的核心执行位置，在每个 `.call()`、`.apply()` 以及关键二元/三元运算处注入 `__tk_log` 记录器，自动输出函数对象、调用参数、返回值及运算轨迹。
2. **Playwright 动态替换**：使用拦截代理，将页面请求的线上 CDN 脚本无缝替换为本地生成的插桩版 SDK。

通过这一方法，单次流程可稳定产出约 28 万行语义日志，为后续算法推导提供了坚实的数据支撑。

---

## 三、算法全链路设计

`X-Gnarly` 的生成可以划分为以下 4 个阶段：

```
(query, UA, ts)
    │
    ▼  阶段 1: TLV 序列化
200 字节明文数据
    │
    ▼  阶段 2: ChaCha 变种流加密
200 字节密文数据
    │
    ▼  阶段 3: W 字节拼装 (嵌入 48 字节 Key)
248 字节拼装数据 (W)
    │
    ▼  阶段 4: 自定义 Base64 编码
332 字符 X-Gnarly 签名
```

---

## 四、阶段 1：TLV 序列化（→ 200 字节明文）

### 4.1 构建 17 元素原始数组

算法首先在内存中收集并构建一个包含 17 个元素的混合数组：

```js
const arr = [
    0,              // tag0: num0 (全局数字校验和，待后续计算)
    73,             // tag1: 固定常量
    14,             // tag2: 固定常量
    qsHash,         // tag3: md5(queryString) 结果
    md5(''),        // tag4: md5(空字符串) = 'd41d8cd98f00b204e9800998ecf8427e'
    md5(UA),        // tag5: md5(User-Agent) 结果
    ts,             // tag6: 秒级时间戳（10位整数）
    A,              // tag7: 固定常量
    B,              // tag8: 固定常量
    '5.2.1',        // tag9: SDK 版本号
    '2.0.0.493',    // tag10: webmssdk 内部版本号
    1,              // tag11: 固定常量
    T12,            // tag12: 固定常量
    T13,            // tag13: 固定常量
    M1,             // tag14: 固定常量
    M2,             // tag15: 固定常量
    num15,          // tag16: 内部校验和
];
```

### 4.2 校验和算法

在进行洗牌前，需要计算数组中的两个校验和：
- **`num15`** (tag16)：
  $$\text{num15} = 73 \oplus 14 \oplus \text{num3} \oplus \text{num4} \oplus \text{num5} \oplus \text{ts} \oplus A \oplus B \oplus \text{num9} \oplus \text{num10} \oplus 1 \oplus T12 \oplus T13 \oplus M1 \oplus M2$$
  *注：其中 $\text{num3, num4, num5, num9, num10}$ 是对应字符串字段前 4 字节转换而成的大端 uint32 整数。*

- **`num0`** (tag0)：
  $$\text{num0} = \sum^{\oplus} \text{arr} \quad (\text{仅对数组中数值类型的元素进行异或运算，非数值类型不参与})$$

### 4.3 LCG 洗牌机制 (Fisher-Yates Shuffle)

基于线性同余生成器（LCG）生成的伪随机数对上述数组进行倒序洗牌：

```js
let seed = B; // 初始种子来源于 tag8 对应的固定常量
const multiplier = 1664525;
const increment = 1013904223;
const modulus = Math.pow(2, 32);

for (let i = arr.length - 1; i > 0; i--) {
    seed = (multiplier * seed + increment) % modulus;
    const targetIndex = Math.floor((seed / modulus) * (i + 1));
    // 交换位置
    const temp = arr[i];
    arr[i] = arr[targetIndex];
    arr[targetIndex] = temp;
}
```

### 4.4 TLV 序列化打包

洗牌完成后的数组将被转化为 TLV（Type-Length-Value）二进制流：
- 结构布局：`[Tag (1B)] [Length_Hi (1B)] [Length_Lo (1B)] [Value (NB)]`
- 编码规则：对于整数类型，若 $\le 0xFFFF$ 采用 2 字节大端表示，若 $> 0xFFFF$ 则采用 4 字节大端表示；字符串统一采用 UTF-8 编码。
- 头部标识：整个二进制流的第 1 字节记录了字段总数（即固定的 `0x11` / 17 个字段）。

**最终输出：200 字节明文字节数组。**

---

## 五、阶段 2：ChaCha 变种加密（→ 200 字节密文）

### 5.1 矩阵状态初始化 (16 Words / 64 Bytes)

加密状态矩阵的 16 个 32位 Word 布局如下：

```
[0..3]  = OT = [1196819126, 600974999, 3863347763, 1451689750]  // 4 个固定状态字
[4..15] = key48 的 12 个 Little-Endian Word // 48 字节固定 Key
```

### 5.2 动态加密轮数计算

轮数由初始 `key48` 决定。由于本方案中 `key48` 采用提取自真机环境的静态常量，其推导轮数亦维持不变：

$$\text{rounds} = \left( \sum_{i=0}^{11} (\text{keyWord}[i] \ \&\ 15) \right) \&\ 15 + 5$$

### 5.3 核心 Quarter Round (QR) 实现

QR 结构与标准 ChaCha 保持一致，保留了经典移位常数：

```js
function quarterRound(x, a, b, c, d) {
    x[a] = (x[a] + x[b]) | 0;  x[d] = rotl32(x[d] ^ x[a], 16);
    x[c] = (x[c] + x[d]) | 0;  x[b] = rotl32(x[b] ^ x[c], 12);
    x[a] = (x[a] + x[b]) | 0;  x[d] = rotl32(x[d] ^ x[a], 8);
    x[c] = (x[c] + x[d]) | 0;  x[b] = rotl32(x[b] ^ x[c], 7);
}
```

### 5.4 魔改对角线变换 (Diagonal Round)

这是 `webmssdk` 对经典 ChaCha 算法做出的核心修改。对比标准对角线变换索引，本版本进行了如下替换：

| 变换组别 | 标准 ChaCha 索引 | webmssdk 5.2.1 变种索引 | 差异说明 |
| :--- | :--- | :--- | :--- |
| 第一组 | `(0, 5, 10, 15)` | `(0, 5, 10, 15)` | 无变化 |
| 第二组 | `(1, 6, 11, 12)` | `(1, 6, 11, 12)` | 无变化 |
| 第三组 | `(2, 7, 8, 13)` | `(2, 7, x, 13)` | 索引 **`8`** 被替换为 **`x`** |
| 第四组 | `(3, 4, 9, 14)` | `(3, 4, y, 14)` | 索引 **`9`** 被替换为 **`y`** |

该修改打破了标准 ChaCha 算法原有的对称扩散特性，需在重构时严格遵循变种索引。

### 5.5 块流处理与 Feed-Forward

分块对 200 字节明文执行流加密（每块 64 字节）：
1. 拷贝当前 `state` 矩阵副本。
2. 依次进行列变换与变种对角线变换，交替执行 `rounds` 轮。
3. 加密完毕后，执行 **Feed-Forward** 累加操作以生成最终密钥流块：
   $$\text{keystream}[j] = (\text{transformed}[j] + \text{initial}[j]) \mid 0$$
4. 初始状态矩阵中的 `state[12]` (counter) 递增，用于下一块计算。
5. 将得到的密钥流与明文块按字节进行异或。

**最终输出：200 字节密文数组。**

---

## 六、阶段 3：W 字节拼装（→ 248 字节）

### 6.1 分割点计算

分割索引依据密文及 `key48` 数据之和求模动态计算：

$$\text{splitIndex} = \left( \sum_{i=0}^{199} \text{ciphertext}[i] + \sum_{j=0}^{47} \text{key48}[j] \right) \bmod 201$$

### 6.2 拼接融合

将 48 字节的 `key48` 插入到密文字节流的分割点处，构建合成数组 `W`：

$$\text{W} = \text{ciphertext}[0 \dots \text{splitIndex}] \mathbin{\Vert} \text{key48}[0 \dots 47] \mathbin{\Vert} \text{ciphertext}[\text{splitIndex} \dots 199]$$

**最终输出：248 字节的数据块。**

---

## 七、阶段 4：自定义 Base64 编码（→ 332 字符）

### 7.1 添加协议前缀

在数据块头部附加固定标识 `0x4B`（字符 'K'）：

$$\text{input} = [0x4B] \mathbin{\Vert} \text{W} \quad (\text{总长度为 } 249 \text{ 字节})$$

### 7.2 变种 Base64 转换

使用指定的自定义字母表进行标准的 3 字节至 4 字符转换（转换过程中无填充字符 `=`）：

*   **自定义字母表**（64 字符）：
    ```
    u09tbS3UvgDEe6r-ZVMXzLpsAohTn7mdINQlW412GqBjfYiyk8JORCF5/xKHwacP=
    ```

*   **编码转换逻辑**：
    $$\text{Group} = (b_0 \ll 16) \mid (b_1 \ll 8) \mid b_2$$
    $$\text{char}_1 = \text{alphabet}[(\text{Group} \gg 18) \ \&\ 63], \quad \dots \quad \text{char}_4 = \text{alphabet}[\text{Group} \ \&\ 63]$$

**最终输出：332 字符长度的有效 X-Gnarly 签名。**

---

## 八、常量与动态变量对照

为保持长期调用的稳定性，算法实现中明确区分了动态变量与静态常量：

---

## 九、对拍验证流程

### 9.1 校验路径

1. Playwright 加载目标页面，利用代理机制将 `webmssdk.js` 重定向至本地插桩版。
2. 触发 API 请求，捕获签名过程中的 trace 日志。
3. 从控制台捕获的最终 `X-Gnarly` 反解出 249 字节，恢复出相应的密文与 `key48`，直至还原明文 TLV。
4. 运行纯 JS 复现程序，对比复现产物与浏览器端生成的结果是否完全对齐。

### 9.2 对拍结果

| 测试批次 | key48 摘要 | 加密轮数 | 变量 B | splitIndex | 复现结果一致性 |
| :--- | :--- | :--- | :--- | :--- | :--- |
| trace4 | `e0671fe6...` | 17 | 354945180 | 38 | ✅ 一致 |
| trace6 | `098bf137...` | 11 | 1316161044 | 194 | ✅ 一致 |

---

## 十、复现实现与调用

### 10.1 本地调用示例 (Node.js)

```js
const { generateXGnarly } = require('./registry/tiktok/xgnarly521.js');

const query = 'WebIdLastTime...msToken..';
const ua = 'Mozilla/5.0 (Windows NT 10.0; Win64; x64)...';
const timestamp = Math.floor(Date.now() / 1000);

const xGnarly = generateXGnarly(query, ua, timestamp);
console.log('Generated X-Gnarly:', xGnarly); // 输出 332 字符的签名
```

### 10.2 发包验证测试 (Python)

```python
from curl_cffi import requests

headers = {
    'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64)...',
    # ... 其他必要请求头
}

url = f'https://www.tiktok.com/api/post/item_list/?{query}&X-Bogus=&X-Gnarly={x_gnarly}'
resp = requests.get(url, headers=headers, impersonate='chrome120')
print("Status:", resp.status_code)
# 数据成功解包说明签名通过深度校验
```

---

## 十一、逆向方法论总结

### 11.1 突破 JSVMP 的静态阻碍
面对包含数百个虚拟机操作码分支及复杂分发循环的 JSVMP 保护，完全依赖静态反汇编分析极易陷入迷局。此时，借助 GLM-5.2 的代码分析与逻辑整合能力，配合同步插桩方案，是定位真实解密链路的高效途径。

### 11.2 语义日志的解构价值
通过自动向执行单元添加插桩，能够避开虚拟机内部繁琐的操作码转换，直接将寄存器数值与函数交互以自然语言级别记录下来。这不仅极大地缩短了逆向周期，而且保证了底层逻辑还原的准确性。

---

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-7-14 10:06 被红皮西瓜编辑，原因：数值脱敏

最新回复 (75) 1 2 3 4 ▶
菜逆雪币： 13 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	菜逆 2 楼 666 2026-7-13 19:40 0
mb_easdnknx 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_easdnknx 3 楼 666 2026-7-13 20:12 0
mb_ykavguun 雪币： 1209 活跃值： (1735) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 164 粉丝 0 关注私信	mb_ykavguun 4 楼 1 2026-7-13 20:38 0
guijingwen 雪币： 7338 活跃值： (7535) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 306 粉丝 0 关注私信	guijingwen 5 楼 6 2026-7-13 21:18 0
wx_景畅雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	wx_景畅 6 楼 1111 2026-7-13 21:29 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 693 粉丝 7 关注私信	mb_ldbucrik 7 楼太强了 2026-7-13 22:15 0
logeye 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 46 粉丝 0 关注私信	logeye 8 楼 666 2026-7-13 22:34 0
mb_ewgaqhew 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_ewgaqhew 9 楼膜拜 2026-7-14 11:31 0
wx_名字还凑合雪币： 195 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	wx_名字还凑合 10 楼 666 2026-7-14 11:36 0
mb_zsmeyemp 雪币： 182 活跃值： (471) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 26 粉丝 0 关注私信	mb_zsmeyemp 11 楼 6666 2026-7-14 15:23 0
Imxz 雪币： 112 活跃值： (9435) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 754 粉丝 9 关注私信	Imxz 12 楼 tql 2026-7-14 17:15 0
mr靓仔雪币： 220 活跃值： (481) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 12 粉丝 0 关注私信	mr靓仔 13 楼 tql 2026-7-14 17:27 0
wx_插曲雪币： 411 活跃值： (881) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 317 粉丝 24 关注私信	wx_插曲 14 楼 6666 2026-7-14 17:33 0
温泉划水鱼雪币： 94 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 224 粉丝 28 关注私信	温泉划水鱼 15 楼 kk 2026-7-14 17:34 0
mb_qztkkwxt 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 58 粉丝 0 关注私信	mb_qztkkwxt 16 楼 666 2026-7-14 17:34 0
梦笔随花雪币： 40 活跃值： (605) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 23 粉丝 0 关注私信	梦笔随花 17 楼 6666 2026-7-14 17:35 0
Hacker_0 雪币： 237 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 16 粉丝 3 关注私信	Hacker_0 18 楼 2026-7-14 17:54 0
呼吸24K纯氧雪币： 28 活跃值： (1716) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 91 粉丝 2 关注私信	呼吸24K纯氧 19 楼看看隐藏 2026-7-16 14:12 0
totaldark 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 25 粉丝 0 关注私信	totaldark 20 楼 Thanks 2026-7-20 00:35 0
mb_euphpkii 雪币： 5 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 17 粉丝 0 关注私信	mb_euphpkii 21 楼 666 2026-7-20 14:10 0
mb_abroxkku 雪币： 233 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_abroxkku 22 楼 666 2026-7-21 14:18 0
mb_ortywcvp 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	mb_ortywcvp 23 楼学习一下 2026-7-22 10:24 0
mb_mnqvyswo 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 28 粉丝 3 关注私信	mb_mnqvyswo 24 楼 666长见识了 2026-7-22 16:50 0
huangjw 雪币： 6698 活跃值： (11882) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 511 粉丝 2 关注私信	huangjw 25 楼 2026-7-23 09:25 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复