极验4滑块 逆向分析

1.前言

原创文章，请勿转载！

滑块验证码是一种常见的人机验证（CAPTCHA）形式，用于区分用户是真人还是自动化程序。

2.声明

本文章中所有内容仅供学习交流使用，不用于其他任何目的，不提供完整代码，抓包内容、敏感网址、数据接口等均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关。
本文章未经许可禁止转载，禁止任何修改后二次传播，擅自使用本文讲解的技术而导致的任何意外，作者均不负责，若有侵权，请联系作者立即删除，请各位自觉遵守相关法律法规。

3.流程分析

• 抓包分析

1.验证码预处理
https://gcaptcha4.geetest.com/load?
- 负载 ：challenge、captcha_id 等
- 响应 ：lot_number slice地址 bg地址 payload process_token

2.验证码校验
https://api.geevisit.com/ajax.php?
- 负载 :captcha_id lot_number process_token(前面返回) payload(前面返回) w(加密参数) 等
- 响应 : pass_token 等其他信息

4.W逆向分析

• 跟栈找到w生成位置,开始分析如何生成

var _ᖉᕾᕾᖃ = (0,_ᖉᖂᖙᖄ[_ᕸᖆᖄᖂ(30)])(_ᖆᖚᖘᖀ[_ᕸᖆᖄᖂ(30)][_ᕸᖆᖄᖂ(559)](_ᖈᕷᕷᕴ), _ᕺᖈᕸᕴ)

- 调用方法 (0,_ᖉᖂᖙᖄ[_ᕸᖆᖄᖂ(30)])

- 参数1   _ᖆᖚᖘᖀ[_ᕸᖆᖄᖂ(30)][_ᕸᖆᖄᖂ(559)](_ᖈᕷᕷᕴ)
'{"setLeft":24,"passtime":152,"userresponse":25.858123691116827,"device_id":"","lot_number":"54200fd8668e4eba8ac7e8b03e3277bc","pow_msg":"1|0|md5|2025-06-06T18:11:26.532615+08:00|54088bb07d2df3c46b79f80300b0abbe|54200fd8668e4eba8ac7e8b03e3277bc||3625f64046ca92b4","pow_sign":"1df41e7b8fbd75bbb9bd72fb0436c0aa","geetest":"captcha","lang":"zh","ep":"123","biht":"1426265548","gee_guard":{"roe":{"aup":"3","sep":"3","egp":"3","auh":"3","rew":"3","snh":"3","res":"3","cdc":"3"}},"lNhO":"WWpr","866d86":{"c75a":{"8b03e3":"eba8"}},"em":{"ph":0,"cp":0,"ek":"11","wd":1,"nt":0,"si":0,"sc":0}}'

- 参数2   _ᕺᖈᕸᕴ
一个大对象 包含这个滑块的相关信息

• 进入到方法体里面，看看他是如何加密的 。发现w由两部分拼而成

 _ᖉᖉᕴᖄ[_ᖙᖄᕹᖉ(34)])(u) + _

• 先分析第一部分，看看u是如何生成的 ，看一下入参。

 var u = _ᖃᖄᕺᖆ[a][_ᕸᖆᖄᖂ(930)][_ᕸᖆᖄᖂ(976)](_ᖈᕷᕷᕴ, _ᖃᕺᕹᖁ)
 
 - 调用方法  _ᖉᖉᕴᖄ[_ᖙᖄᕹᖉ(34)])
 - 参数 1
'{"setLeft":24,"passtime":152,"userresponse":25.858123691116827,"device_id":"","lot_number":"54200fd8668e4eba8ac7e8b03e3277bc","pow_msg":"1|0|md5|2025-06-06T18:11:26.532615+08:00|54088bb07d2df3c46b79f80300b0abbe|54200fd8668e4eba8ac7e8b03e3277bc||3625f64046ca92b4","pow_sign":"1df41e7b8fbd75bbb9bd72fb0436c0aa","geetest":"captcha","lang":"zh","ep":"123","biht":"1426265548","gee_guard":{"roe":{"aup":"3","sep":"3","egp":"3","auh":"3","rew":"3","snh":"3","res":"3","cdc":"3"}},"lNhO":"WWpr","866d86":{"c75a":{"8b03e3":"eba8"}},"em":{"ph":0,"cp":0,"ek":"11","wd":1,"nt":0,"si":0,"sc":0}}'
//setLeft-滑块移动距离 passtime-滑块移动时间
//userresponse-暂时不知道 pow_msg-暂时不知道  pow_sign-暂时不知道
//除了第一次预处理时返回的参数 及 以上的几个参数  经过验证可以写死

- 参数2
"2b6b77f83b92132a"

• 分析参数 1 发现是前面传进来的 向上跟栈

• 取得是对象下的属性，没看到生成位置，继续往上跟

• 这里可以看到 userresponse 是如何生成的 其实就是 滑块移动距离 / 1.0059466666666665 +2

• 在this里面找到了powsign ,powMsg 根据this的指向，向前跟栈

• this指向的是这个对象 ，看了一下 并没有发现 powsign ,powMsg 生成的位置，所以大概率还是前面生成的 ，往上跟，找到这个对象定义的位置

• 我们在这个下个断点，想看看this里面是否有我们所需要的东西。
• 放开了所有断点，重新滑动一下 ，但是会发现此时并没有断住，说明initEvent这个方法并没有在这个接口被调用 ，initEvent 其实是初始化事件的意思，那么大概率是在刷新页面时被调用，我们需要调用这个方法才能知道this的指向
• 所以刷新一下页面

• 刷了一下页面，页面断住了，继续向前跟栈

• 发现也是通过this 传进来的 ，不断向上跟栈 。跟栈时要注意this作用域的问题，如果没有当前断点没有在当前作用域，就一直向上跟的话，this会指向同一个对象，导致我们跟不到正确的值，所以每次观察this时，要刷新页面，让断点断在当前作用域。

• 没看到a定义的位置，可能在上层作用域，继续向上跟栈，找到a定义的位置

• 这里已经可以看到 a 定义的位置和一些我们想要的值了 ，在a处下个断点，刷新页面

• 我们已经找到生成的位置了

(0,_ᖆᖃᖂᕶ[_ᖉᖃᖈᖗ(30)])(_ᕺᖈᕸᕴ, _ᖗᕵᖙᕹ, _ᖘᖈᖂᖉ[_ᖉᕾᕾᖃ(586)], _ᖘᖈᖂᖉ[_ᖉᖃᖈᖗ(550)], _ᖘᖈᖂᖉ[_ᖉᖃᖈᖗ(582)], _ᖘᖈᖂᖉ[_ᖉᖃᖈᖗ(558)], _ᖉᕾᕾᖃ(2))

- 调用方法 (0,_ᖆᖃᖂᕶ[_ᖉᖃᖈᖗ(30)])

- 参数1 _ᕺᖈᕸᕴ lotNumber
- 参数2 _ᖗᕵᖙᕹ captchaId
- 参数3 _ᖘᖈᖂᖉ[_ᖉᕾᕾᖃ(586)] 字符串"md5"
- 参数4 _ᖘᖈᖂᖉ[_ᖉᖃᖈᖗ(550)] 字符串"1"
- 参数5 _ᖘᖈᖂᖉ[_ᖉᖃᖈᖗ(582)] 数字 0
- 参数6 _ᖘᖈᖂᖉ[_ᖉᖃᖈᖗ(558)] 字符串 "2025-06-07T20:13:27.433953+08:00"
- 参数7  _ᖉᕾᕾᖃ(2) 字符串 ""

• 进入到方法体中

_ᖆᖗᖉᕸ = _ᕿᕴᖁᕿ + _ᖙᖉᖈᕿ(164) + _ᕸᖆᖄᖂ + _ᖀᖗᖄᖙ(164) + _ᖙᖄᕹᖉ + _ᖀᖗᖄᖙ(164) + _ᖘᖈᖂᖉ + _ᖀᖗᖄᖙ(164) + _ᖉᖃᖈᖗ + _ᖀᖗᖄᖙ(164) + _ᖈᕷᕷᕴ + _ᖙᖉᖈᕿ(164) + _ᖃᕾᖆᕺ + _ᖀᖗᖄᖙ(164)
// _ᖆᖗᖉᕸ = "1" + ""|"" + 0 + "|" + "md5" + "|" + "2025-06-07T20:13:27.433953+08:00" + "|" + captchaId + "|" + lotNumber + "|" + "" + "|"

h = (0,_ᖗᕵᖙᕹ[_ᖀᖗᖄᖙ(96)])()
//随机16位字符串

l = _ᖆᖗᖉᕸ + h,
p = (new (_ᕺᖈᕸᕴ[_ᖙᖉᖈᕿ(30)][_ᖀᖗᖄᖙ(702)]))[_ᖙᖉᖈᕿ(739)](l)
//pow_msgmd5加密后就是pow_sign

pow_msg: _ᖆᖗᖉᕸ + h,
pow_sign: p

• 自此 字符串对象内的加密数据已经分析完了 回到前面生成u的位置

var u = _ᖃᖄᕺᖆ[a][_ᕸᖆᖄᖂ(930)][_ᕸᖆᖄᖂ(976)](_ᖈᕷᕷᕴ, _ᖃᕺᕹᖁ)
var u = _ᖃᖄᕺᖆ["1"]["symmetrical"]["encrypt"](_ᖈᕷᕷᕴ, _ᖃᕺᕹᖁ)
- 参数1 字符串对象 上面已经分析完了
- 参数2 16位随机字符串

• 这是一个 AES，可以调用加密库或者扣代码 ，我选择扣代码，由于是webpack打包的 ，直接将整个函数扣下来 ，导出需要调用的对象或方法即可 ，第一部分结束，
• 第二部分

 _ = _ᖃᖄᕺᖆ[a][_ᕸᖆᖄᖂ(945)][_ᕸᖆᖄᖂ(976)](_ᖃᕺᕹᖁ)
 _ = _ᖃᖄᕺᖆ["1"]["asymmetric"]["encrypt"](_ᖃᕺᕹᖁ)

- 参数 16位的随机字符串 

• 这是一个 RSA加密 ，和上面一样直接把代码扣下来导出就可以了
• 对于滑块距离的识别，使用DDddocr即可，此处不多赘述
• 最后一点需要注意，上面所用到的所有16位随机字符串需要保持一致，否则会请求失败 。

附上成功截图