【验证码逆向专栏】某某邮政滑块逆向分析

声明

本文章中所有内容仅供学习交流使用，不用于其他任何目的，不提供完整代码，抓包内容、敏感网址、数据接口等均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关！

本文章未经许可禁止转载，禁止任何修改后二次传播，擅自使用本文讲解的技术而导致的任何意外，作者均不负责，若有侵权，请在公众号【K哥爬虫】联系作者立即删除！

前言

粉丝答疑又双叒来了！最近仍有不少粉丝咨询逆向相关问题，K哥会尽力回复，不过毕竟精力有限，不可能说是面面俱到（忙忘了@.@）。当然，还是会尽可能多筛选些典型的案例，产出相关文章，以供大伙学习交流。本期分析的验证码，如果没有相关业务，可能很多人不会接触到，也算是较为新颖，话不多说，开始正文：

逆向目标

目标：xx 邮政滑块逆向分析

网站：aHR0cHM6Ly9wYXNzcG9ydC4xMTE4NS5jbi9jYXMvbG9naW4=

抓包分析

抓包分析，先看图片接口 gen：

返回的内容比较多，后面估计会用到，我们留意一下就行，clientUid 后文分析：

再来看验证接口，即发验证码的接口：

• id ： 图片接口返回；
• bgImageHeight： 写死即可；
• bgImageWidth：写死即可；
• clientUid：同图片接口参数 clientUid；
• deviceId：图片接口返回 deviceId；
• enmiid：需要分析；
• entSlidingTime：结束验证时间，模拟一下，校验不严；
• print：需要分析；
• sliderImageHeight：写死即可；
• sliderImageWidth：写死即可；
• startSlidingTime：开始验证时间，模拟一下，校验不严；
• trackList：轨迹列表。

验证结果：

• 失败

• 成功

逆向分析

gen 接口

该接口有个 clientUid 参数，目测是 uuid 类型， 我们全局搜索一下，发现只在 main.js 文件中存在，进去后发现被 ob 混淆：

又是经典的 ob 混淆， 这里直接借用 v佬 的插件快速还原，工具地址如下：

Github 仓库：https://github.com/cilame/v_jstools

在线分析工具：https://astexplorer.net

还原之前还需要稍微的预处理一下，比如下面这样一堆常量的花指令，以及十六进制形式的数字：

比如下面这样一堆常量的花指令，以及十六进制形式的数字

附上简单的预处理 AST 代码：

// 字符串美化
const simplifyLiteral = {
    NumericLiteral({ node }) {
        if (node.extra && /^0[obx]/i.test(node.extra.raw)) {
        node.extra = undefined;
        }
    },
    StringLiteral({ node }) {
        if (node.extra && /\\[ux]/gi.test(node.extra.raw)) {
        node.extra = undefined;
        }
    },
}

traverse(ast, simplifyLiteral);



let my_obj = {};


const merge_odj = {
    VariableDeclarator(path){
        let {init} = path.node;

        if (!types.isObjectExpression(init)) return;

        let {properties} = init;

        properties.forEach(property => {
            // 确保属性值是字面量
            if (types.isLiteral(property.value)) {
              my_obj[property.key.name] = property.value;
            }
        });
       
    }
};

traverse(ast, merge_odj);


const clearObjectofValue = {
    MemberExpression(path){
        let {object, property} = path.node
        if (!property || !types.isIdentifier(property) || !types.isIdentifier(object)) return;
        let key = property.name
        let value = my_obj[key]
        if (!value) return;
        console.log(`${path.toString()} --> ${value.value}`)
        path.replaceWithSourceString(value.value)
    }
}

traverse(ast, clearObjectofValue);

ast = parser.parse(generator(ast,{compact:true}).code)


remove_no_citation_obj = {
    VariableDeclarator(path){
        let {init,id} = path.node
        if (!types.isObjectExpression(init) && !types.isIdentifier(id)) return;
        let {scope} = path
        let binding = scope.getBinding(id.name)
        if (binding.referencePaths.length !== 0) return;
        path.remove()
    }
}

// 删除未被引用的对象
traverse(ast,remove_no_citation_obj)

然后再利用 v_jstools 插件中的解密高级 ob 混淆即可还原了，good：

利用浏览器的替换功能，替换 main.js 文件，注意将代码压缩替换，我们再来搜索 clientUid 看看：

返回 _0x349b8e，我们再进去到 _0x236e93 函数中看看：

发现确实是 uuid 的构造，这边引库或者扣代码都行：

• clientUid

var _0x5e9294;
var _0x31a6e3 = new Uint8Array(16);

function _0x2f762f() {
    if (!_0x5e9294 && !(_0x5e9294 = typeof crypto != "undefined" && crypto.getRandomValues && crypto.getRandomValues.bind(crypto) || typeof msCrypto != "undefined" && typeof msCrypto.getRandomValues == "function" && msCrypto.getRandomValues.bind(msCrypto))) {
        throw new Error("crypto.getRandomValues() not supported. See https://github.com/uuidjs/uuid#getrandomvalues-not-supported");
    }
    return _0x5e9294(_0x31a6e3);
}

for (var _0x22667e = function (_0x37736f) {
    return typeof _0x37736f == "string" && /^(?:[0-9a-f]{8}-[0-9a-f]{4}-[1-5][0-9a-f]{3}-[89ab][0-9a-f]{3}-[0-9a-f]{12}|00000000-0000-0000-0000-000000000000)$/i.test(_0x37736f);
}, _0x49863c = [], _0x18d3c6 = 0; _0x18d3c6 < 256; ++_0x18d3c6) {
    _0x49863c.push((_0x18d3c6 + 256).toString(16).substr(1));
}

function _0x19f649(_0x3d7e8f) {
    var _0x238244 = arguments.length > 1 && arguments[1] !== undefined ? arguments[1] : 0;
    var _0x313ed4 = (_0x49863c[_0x3d7e8f[_0x238244 + 0]] + _0x49863c[_0x3d7e8f[_0x238244 + 1]] + _0x49863c[_0x3d7e8f[_0x238244 + 2]] + _0x49863c[_0x3d7e8f[_0x238244 + 3]] + "-" + _0x49863c[_0x3d7e8f[_0x238244 + 4]] + _0x49863c[_0x3d7e8f[_0x238244 + 5]] + "-" + _0x49863c[_0x3d7e8f[_0x238244 + 6]] + _0x49863c[_0x3d7e8f[_0x238244 + 7]] + "-" + _0x49863c[_0x3d7e8f[_0x238244 + 8]] + _0x49863c[_0x3d7e8f[_0x238244 + 9]] + "-" + _0x49863c[_0x3d7e8f[_0x238244 + 10]] + _0x49863c[_0x3d7e8f[_0x238244 + 11]] + _0x49863c[_0x3d7e8f[_0x238244 + 12]] + _0x49863c[_0x3d7e8f[_0x238244 + 13]] + _0x49863c[_0x3d7e8f[_0x238244 + 14]] + _0x49863c[_0x3d7e8f[_0x238244 + 15]]).toLowerCase();
    if (!_0x22667e(_0x313ed4)) {
        throw TypeError("Stringified UUID is invalid");
    }
    return _0x313ed4;
}

function _0x236e93(_0x5bbf46, _0x3b7cda, _0x21cf16) {
    var _0x574141 = (_0x5bbf46 = _0x5bbf46 || {}).random || (_0x5bbf46.rng || _0x2f762f)();
    _0x574141[6] = _0x574141[6] & 15 | 64;
    _0x574141[8] = _0x574141[8] & 63 | 128;
    if (_0x3b7cda) {
        _0x21cf16 = _0x21cf16 || 0;
        for (var _0x3503fc = 0; _0x3503fc < 16; ++_0x3503fc) {
            _0x3b7cda[_0x21cf16 + _0x3503fc] = _0x574141[_0x3503fc];
        }
        return _0x3b7cda;
    }
    return _0x19f649(_0x574141);
};


console.log(_0x236e93());

验证接口

重点就是 enmiid、print 参数的生成，我们通过搜索 enmiid、print 即可定位到：

从 _0x5e712c 对象中取的值，我们可以搜索 _0x5e712c 的赋值操作 "_0x5e712c =", 即可定位到目标位置：

可以看到目标的参数以及都生成好了，我们可以从前往后开始分析：

_0x5b4cc9 就是图片返回的内容，取了 webAName、miid、rc， 然后拼接了一个 weba.js 请求这个链接，通过三次 then 得到 _0x383eb4 这个对象，进去到 _0x383eb4 对象的方法或者去看 weba.js 这个文件就可以发现又是 WebAssembly 与 JavaScript 之间进行交互，跟上篇某东 m 端的 wasm 大差不差，敢兴趣的可以去看看，我们接着向下分析，通过 _0x383eb4 对象下的函数对 _0x2d1fb0、_0x354e64 进行一系列的操作最终得到了目标参数。

_0x2d1fb0 就是取的 rc，_0x354e64 是一个对象，里面的 hitId 对应 miid、deviceId 对应图片接口返回的 deviceId、_print 通过 _0x468795(_0x34c930) 返回，_0x34c930 对应 miid，然后进入到 _0x468795 函数：

通过 WebGL 在画布上绘制图形，并最终将绘制的内容转换为图像数据URL， 然后 _0x492d6a() 函数生成密文

最后再将密文与 _0x5ad970 + "|" + 密文得到我们最终返回的数据，我们断点进入到 _0x492d6a() 函数：

可能有大佬一眼就看出来是什么加密了，也可以根据长度判断，我们也可以找一下是谁调用的，在 249 中，

我们直接找 (249) ，就在下面，加密也写出来了，我们验证一下没有问题：

最后就是 _0x383eb4 对象了，我们可以仿照着写，先请求 weba.js 链接，注意 weba.js 链接是动态：

 "https://kks.11185.cn/static/front/" + webAName + "/bin/weba.js"

保存发现：

已经帮我们把对象给导出了，如下操作即可：

weba = require('./Weba.js');

window = global;

function ZxptRestKks(rc, _0x354e64){
    var result;
    var flag = false;
    weba().then(function(Module) {
        if (Module) {
            _0x2d1fb0 = rc;   // rc
            window[_0x354e64.deviceId] = function () {
              return _0xa2b2bc = Module.allocateUTF8(_0x2d1fb0);
            };
            // 访问 PromiseResult 下的属性
            _0x156e64 = Module.allocateUTF8(JSON.stringify(_0x354e64));
            _0x3e92b3 = Module._rotate(_0x156e64);
            _0x57276e = Module.UTF8ToString(_0x3e92b3);
            result = JSON.parse(_0x57276e);
            flag = true;
        }
    }).catch(function(error) {
        // 处理 Promise 被拒绝的情况
        console.error(error);
    });
    while (!flag) {
        require('deasync').sleep(100);
    }
    ;
    return result;
};

最后就是一些细节风控的处理，该验证码对距离的识别要求较高，轨迹要求不高，会封 ip 和 ua，速度快了，也会影响成功率，在 cv2 识别后，加上延迟即可，成功率 99%。附上处理代码：

• cv2 识别

def identify_gap(bg, tp):
    """
    bg: 背景图片
    tp: 缺口图片
    out: 输出图片
    """
    # 读取背景图片和缺口图片
    bg_img = cv2.imdecode(np.frombuffer(bg, np.uint8), cv2.IMREAD_GRAYSCALE)
    tp_img = cv2.imdecode(np.frombuffer(tp, np.uint8), cv2.IMREAD_GRAYSCALE)  # 缺口图片
    yy = []
    xx = []
    for y in range(tp_img.shape[0]):
        for x in range(tp_img.shape[1]):
            r = tp_img[y, x]
            if r < 200:
                yy.append(y)
                xx.append(x)
    tp_img = tp_img[min(yy):max(yy), min(xx):max(xx)]
    # 识别图片边缘
    bg_edge = cv2.Canny(bg_img, 100, 200)
    tp_edge = cv2.Canny(tp_img, 100, 200)
    # 转换图片格式
    bg_pic = cv2.cvtColor(bg_edge, cv2.COLOR_GRAY2RGB)
    tp_pic = cv2.cvtColor(tp_edge, cv2.COLOR_GRAY2RGB)
    # 缺口匹配
    res = cv2.matchTemplate(bg_pic, tp_pic, cv2.TM_CCOEFF_NORMED)
    min_val, max_val, min_loc, max_loc = cv2.minMaxLoc(res)  # 寻找最优匹配
    # # 绘制方框
    th, tw = tp_pic.shape[:2]
    tl = max_loc  # 左上角点的坐标
    br = (tl[0] + tw, tl[1] + th)  # 右下角点的坐标
    cv2.rectangle(bg_img, tl, br, (0, 0, 255), 2)  # 绘制矩形
    cv2.imwrite('distinguish.jpg', bg_img)  # 保存在本地
    # 返回缺口的X坐标
    print(f'value: {tl[0]}')
    return max_loc[0]


value = identify_gap(requests.get(backgroundImage).content, requests.get(sliderImage).content)
value = int(value * 0.55)
print(value)
time.sleep(1)

• 轨迹构造

def get_sub_trajectory(trajectories, value):
    # 检查value是否在轨迹的x值中
    for trajectory in trajectories:
        if trajectory['x'] == value:
            # 如果找到，截取从轨迹开始到该点的子数组
            return [t for t in trajectories if t['x'] <= value]

    # 如果value不在x值中，找到最接近value的x值
    closest_x = None
    min_diff = float('inf')
    for trajectory in trajectories:
        if abs(trajectory['x'] - value) < min_diff:
            min_diff = abs(trajectory['x'] - value)
            closest_x = trajectory['x']

    # 截取从轨迹开始到最接近的x值的子数组
    return [t for t in trajectories if t['x'] <= closest_x]


# 调用函数
# trackList : 浏览器生成的最大距离轨迹
value = 128  # 假设我们要找的value是 128
sub_trajectory = get_sub_trajectory(trackList, value)
sub_trajectory[-1]['type'] = 'up'
print(sub_trajectory)

结果验证