逆向之Ja3指纹学习

已于 2023-06-27 10:50:35 修改
阅读量1.8k 收藏 9
点赞数
CC 4.0 BY-SA版权
文章标签： 学习
于 2023-06-20 13:17:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/Zuko_chen/article/details/131319730

声明

本文章中所有内容仅供学习交流，抓包内容、敏感网址、数据接口均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关，若有侵权，请联系我立即删除！

tls

tls实际上前身就是 ssl，由于访问 https页面的时候，网络层建立连接过程中，涉及到了tl握手问题，
所以tls指纹就有可能被反爬手段所检测，目前有一些防火墙已经将此技术应用。
目前为止，tls指纹的检测手段依然停留在 将tls内容做哈希操作，由此检测黑名单的方案，而并非使用了白名单手段。

抓包展示

用下某网站做测试 且此网站也有有Ja3指纹加密的

aHR0cHM6Ly9nZ3p5LmppYW5neGkuZ292LmNuL3h3ZHQvMDAxMDAyL3NlYzEuaHRtbA==

fiddler

!注意 fiddler要想抓Ja3-tls指纹 包
要把CONNECTS选项取消勾选，不然抓不到指纹包

然后我们抓到了很多指纹包，然后我们挨个打开看看


然后我们看到很多的加密算法，还有加密方式其实这种包其实本质上就是加入黑名单

已经tls的版本也有

charles

相比较fiddler charles抓到的包就很有限了。
但是操作也更加的简单了
我们直接打开charles 然后刷新网站
这里直接就显示了tls的信息
我们接着点开详细信息 这里显示了tls的加密方式 已经加密的两种方式.

这两种抓包方式终究还是图一乐，真要抓包还得看wireshark

wireshark

步骤如下

  1. 查询网站IP地址 ======> cmd ======> ping xxx.com =====> 复制IP地址
  2. 打开wireShark抓包，选择抓取的网卡
  3. 刷新浏览器
  4. 在过滤器中输入 ip.addr == 你要查看的ip地址 具体如下图
  5. 找到一个Client hello的包
  6. 查看详细信息
    最下面的是hash指纹 和详细指纹信息
    把这个指纹fullstring复制出来771,4865-4866-4867-49195-49199-49196-49200-52393-52392-49171-49172-156-157-47-53,18-51-35-23-45-5-27-10-13-43-65281-11-16-17513-0-21,29-23-24,0
    这个指纹信息就是网站可以运行的指纹信息

指纹分析

指纹信息分析其实很简单，
我们接下来用三种方式去获取这个指纹信息
也就是上文的771,4865-4866-4867-49195-49199-49196-49200-52393-52392-49171-49172-156-157-47-53,18-51-35-23-45-5-27-10-13-43-65281-11-16-17513-0-21,29-23-24,0

浏览器

这里我们选择直接用上文抓包抓到的指纹
还有一种方式https://tls.browserleaks.com/json 直接去网站看自己的浏览器指纹也是可以的

由于上面已经获取了浏览器的指纹了，我们直接就拿来用了

771,4865-4866-4867-49195-49199-49196-49200-52393-52392-49171-49172-156-157-47-53,18-51-35-23-45-5-27-10-13-43-65281-11-16-17513-0-21,29-23-24,0

python

接着我们使用requests原生库，即正常访问，携带基本的参数去请求即可
我们使用代码去访问下这个网站https://tls.browserleaks.com/json

import requests

r = requests.get('https://tls.browserleaks.com/json', verify=True)
print(r.text)

结果

{
  "ja3_hash": "8d9f7747675e24454cd9b7ed35c58707",
  "ja3_text": "771,4866-4867-4865-49196-49200-49195-49199-52393-52392-159-158-52394-49327-49325-49326-49324-49188-49192-49187-49191-49162-49172-49161-49171-49315-49311-49314-49310-107-103-57-51-157-156-49313-49309-49312-49308-61-60-53-47-255,0-11-10-16-22-23-49-13-43-45-51-21,29-23-30-25-24,0-1-2",
  "ja3n_hash": "a790a1e311289ac1543f411f6ffceddf",
  "ja3n_text": "771,4866-4867-4865-49196-49200-49195-49199-52393-52392-159-158-52394-49327-49325-49326-49324-49188-49192-49187-49191-49162-49172-49161-49171-49315-49311-49314-49310-107-103-57-51-157-156-49313-49309-49312-49308-61-60-53-47-255,0-10-11-13-16-21-22-23-43-45-49-51,29-23-30-25-24,0-1-2",
  "akamai_hash": "",
  "akamai_text": ""
}

所以这个指纹是

771,4866-4867-4865-49196-49200-49195-49199-52393-52392-159-158-52394-49327-49325-49326-49324-49188-49192-49187-49191-49162-49172-49161-49171-49315-49311-49314-49310-107-103-57-51-157-156-49313-49309-49312-49308-61-60-53-47-255,0-11-10-16-22-23-49-13-43-45-51-21,29-23-30-25-24,0-1-2

python 魔改库

我们再试试 Python有关SSL的魔改库
其实这类库有很多
简单举例两个吧 一个是 curl_cffi 一个是 tls_client

我们这里使用curl_cffi 去访问一下看看这个指纹是什么

from curl_cffi import requests

r = requests.get("https://tls.browserleaks.com/json", impersonate="chrome101")
print(r.text)

结果

{
  "ja3_hash": "cd08e31494f9531f560d64c695473da9",
  "ja3_text": "771,4865-4866-4867-49195-49199-49196-49200-52393-52392-49171-49172-156-157-47-53,0-23-65281-10-11-35-16-5-13-18-51-45-43-27-17513-21,29-23-24,0",
  "ja3n_hash": "aa56c057ad164ec4fdcb7a5a283be9fc",
  "ja3n_text": "771,4865-4866-4867-49195-49199-49196-49200-52393-52392-49171-49172-156-157-47-53,0-5-10-11-13-16-18-21-23-27-35-43-45-51-17513-65281,29-23-24,0",
  "akamai_hash": "4f04edce68a7ecbe689edce7bf5f23f3",
  "akamai_text": "1:65536;3:1000;4:6291456;6:262144|15663105|0|m,a,s,p"
}

而这个指纹是

771,4865-4866-4867-49195-49199-49196-49200-52393-52392-49171-49172-156-157-47-53,0-23-65281-10-11-35-16-5-13-18-51-45-43-27-17513-21,29-23-24,0

总结三种方式

然后我们把这三个指纹拿出来做个对比

浏览器： 
771,4865-4866-4867-49195-49199-49196-49200-52393-52392-49171-49172-156-157-47-53,18-51-35-23-45-5-27-10-13-43-65281-11-16-17513-0-21,29-23-24,0

python原生库： 
771,4866-4867-4865-49196-49200-49195-49199-52393-52392-159-158-52394-49327-49325-49326-49324-49188-49192-49187-49191-49162-49172-49161-49171-49315-49311-49314-49310-107-103-57-51-157-156-49313-49309-49312-49308-61-60-53-47-255,0-11-10-16-22-23-49-13-43-45-51-21,29-23-30-25-24,0-1-2

python魔改库: 
771,4865-4866-4867-49195-49199-49196-49200-52393-52392-49171-49172-156-157-47-53,0-23-65281-10-11-35-16-5-13-18-51-45-43-27-17513-21,29-23-24,0

可以清楚地看到 python的魔改库和浏览器的指纹是长度是一样的。

这样我们可以知道了，这个指纹长度只要和浏览器相同就可以了。

我们使用魔改库访问开头所要访问的网站实验一下


发现可以正常访问

那该如何不借助魔改库去完成Ja3网站的解密呢
可以通过修改ssl的套接字 使得防火墙黑名单失效
从而保证指纹长度一致 即可完成解密

tls 检测的绕过方案

临时方案:

注意 requests库必须在2.4 以上版本 不然会失败

requests.packages.urllib3.util.ssl_.DEFAULT_CIPHERS ='ALL'

修改了requests内部包的 ssI里面的套接字设置，使防火墙黑名单失效

动态 DEFAULT CIPHERS :/docs/man1.1.1/man1/openssl-ciphers.html通过配置TLS最低版本和加密套件提升客户端访问域名的通道安全_Web应用防火墙 WAF_最佳实践_华为云
这种方法国内处理就已经够了

非临时方案:
自设ssl，并覆写requests中的类的一些方法api - Python requests being fingerprinted? - Stack Overflow

ssl - Python requests https: code 403 without but code 200 when using BurpSuite - Stack Overflow

深入理解requests中 建立 tls的过程
先抓包看下正常的访问 tls，和requests访问的区别
我们需要单步调试requests源码，并且想办法修改 tls访问过程中的UA
按照上面的思路，加上对 ssl的理解，就可以实现一个针对于 *ka**i tls检测的高并发方案

始識
关注
【ja3 指纹算法】JS逆向之ja3指纹算法
赖德发的博客
01-22 2313
ja3 官方：https://ja3er.com 访问这个网站：https://ja3er.com/json 你会看到类似如下的返回json字段结果，这就是著名的ja3算法加密后的结果。那么这个ja3究竟是何方神圣，有什么神秘之处呢？ {"ja3_hash":"b32309a26951912be7dba376398abc3b", "ja3": "771,4865-4866-4867-49195-49199-49196-49200-52393-52392-49171-49172-156-157-47-53,
js逆向知识-Ja3指纹学习
bdeeneh的博客
02-21 222
目录 一、ja3指纹介绍 二、ja3指纹解决方案 一、ja3指纹介绍 1、指纹：通过一些算法将一些特征加密得到的值，这些值往往能够区分你是谁。每个客户端会生成特定的ja3指纹，并不会随ip和useragent改变，通过ja3指纹可以定位识别到某个客户端（不限于浏览器、python等） 2、chrome浏览器查看ja3指纹：https://ja3er.com/json，或者https://ja3er.com/ 3、python的requests包查看ja3指纹 imp
python爬虫 - 猿人学第十九题突破ja3指纹验证
app安全逆向、移动开发、tls/ja3、爬虫、反爬
12-12 7316
ja3指纹破解，骚操作删除原生加密算法
一篇搞懂什么是ja3指纹（TLS）
最新发布
afei__aibianc的博客
04-26 743
在当今的互联网世界中，TLS（Transport Layer Security）协议是保护数据传输隐私和完整性的基石。无论是浏览网页、登录账号，还是进行在线支付，TLS都默默在后台为我们的通信加密。然而，这种加密保护也让传统的流量分析手段失效——因为数据被加密，我们无法直接通过内容来识别流量类型或来源。。比如，某个恶意软件可能因为其独特的TLS握手特征而被检测出来，而你的浏览器也可能因为JA3指纹暴露自己的身份。
Python工程师之JA3 指纹
weixin_36723038的博客
03-31 5726
有些小伙伴在爬取网站的时候，是不是觉得爬取数据的时候，把代理加好，header设置得和网站请求一样，是不是网站就不会知道是谁爬取的呢？ 其实不然，就算设置好代理IP和header一样可能会被网站检测到的，这个东西就是ja3指纹。 那什么是JA3指纹呢？A3指纹又叫做浏览器指纹，它是不会随着你更换 IP 或者 User-Agent 而改变的。而且即使你不使用模拟浏览器，你直接使用 Golang、使用 Python，它们也有自己各自的指纹，并且他们的指纹每次请求也是固定的。只要网站发现某个拥有特定指纹的客户端.
JA3：强大的TLS客户端和服务器指纹识别工具
gitblog_00053的博客
06-16 815
JA3：强大的TLS客户端和服务器指纹识别工具 ja3Go package for Ja3 TLS client and server hello fingerprints项目地址:https://gitcode.com/gh_mirrors/ja3/ja3 在网络安全领域，快速准确地识别加密通信中的潜在威胁至关重要。这就是ja3开源项目的作用所在。基于Salesforce的创新技术，它提供了一...
探索网络安全新维度：JA3 — SSL/TLS 客户端指纹识别系统
gitblog_00526的博客
08-09 1077
探索网络安全新维度：JA3 — SSL/TLS 客户端指纹识别系统 ja3JA3 is a standard for creating SSL client fingerprints in an easy to produce and shareable way.项目地址:https://gitcode.com/gh_mirrors/ja/ja3 项目简介 JA3 是一种创新的 SSL/TLS ...
008.编译自己的指纹浏览器-随机tls指纹(ja3指纹)
w1101662433的博客
04-29 3319
可以看到加密方式在chromium中是写死的，顺序也是。我们不能随意删减加密方式，但我们给他随机打乱还是可以的。这样加密顺序就打乱了。
python爬虫 - js逆向之猿人学第十九题突破ja3指纹验证
segegefe的博客
02-28 691
前言 （来csdn做备份，某客园的审核机制太蛋疼…） 废话不多说，直接干，再来猿人学19题 分析 看了下，没有加密参数： 然后拿着接口直接请求： 有结果的，不会吧，这么简单？没有加密参数？这次这么草率？ 用代码访问，唉，卧槽，就是他妈的不行，果然有猫腻 换requests: 确实不行， 用postman看看，可以的 这他妈就很秀啊，上一次这种感觉还是http2.0的时候，但是上面我已经用了httpx了啊，也不行，说明就不是http2.0了。 这种无力感，接着又想到上次验证请求头，把请求头写死看看
在Go的帮助下模仿Node内的TLS / JA3指纹-Golang开发
05-26
在Go myTls的帮助下，在Node内模拟TLS / JA3指纹在Go安装的帮助下，在Node内模拟TLS / JA3指纹。$ npm install mytls用法const initMyTls = require（'mytls'）; // Typescript：从“ mytls”导入initMyTls； （async（）=> {const myTls = await initMyTls（）; const response = await myTls（'https://ja3er.com/json'，{body：''，标头：{'user-agent'：'customheaders '，}，ja3：'771,255-49195-49199-49196-49200-49171-49172-156-157-47-53,0-10-11-13,23-24,0'，}）;}）（ ）; // => {// =>状态
akamai TLS指纹(即JA3)
hero706309的专栏
08-16 6331
akamai1.75 TLS指纹 ja3 akamai2.0 Cloudflare 5秒盾
ja3指纹 笔记
碎片的博客
12-12 1989
ja3指纹是怎么实现的？该如何绕过？
深度剖析ja3指纹及突破
app安全逆向、移动开发、tls/ja3、爬虫、反爬
03-13 2340
文章较之前有部分改动，对理解ja3来说不影响的。因为某大佬看了我的文章后说我的方法其实不是完美突破，所以完美两个字没了。可能有朋友会说"你这不是在炒冷饭吗？没意思”，不不，完全没这想法。我想的是1.为了留存备份，等我老了可以给子孙后代看，这个是我写的。2.以后大家不用再拿着那个pdf私下转发了。
【编程笔记】libpcap应用之JA3指纹
xiongcha的博客
10-20 1327
为了有效应对基于SSL/TLS协议加密的流量所带来的安全挑战，JA指纹技术应运而生。这项创新性的技术由三位杰出的安全研究员John Althouse、Jeff Atkinson以及Josh Atkins共同研发，并于2017年6月首次在GitHub平台上公开发布。JA指纹代表了一种新颖且高效的方法来识别和分析传输层上的SSL/TLS通信特征。JA指纹本质上是一种对网络流量中的TLS握手信息进行细致解析的技术手段。
【干货】pythonJA3指纹绕过
一只小爬虫的博客
01-16 942
在setting中把这个中间件启动。
python ja3
01-09
### 使用Python生成或解析JA3指纹 #### 什么是JA3指纹 JA3是一种用于识别TLS客户端配置的独特字符串表示形式。通过捕获并分析这些特征，可以有效地追踪特定设备或应用程序发出的网络请求[^1]。 #### 如何安装依赖库 为了实现这一功能，在Python环境中需先安装必要的第三方模块`pyja3`以及其依赖项： ```bash pip install pyja3 ``` 此命令会自动处理所有必需组件的下载与设置工作。 #### 生成JA3指纹实例 下面展示了一段简单的代码片段来说明怎样利用上述工具包创建一个新的SSL/TLS连接，并从中提取对应的JA3哈希值及其可读版本描述： ```python import ssl from ja3 import get_ja3_string, get_hash context = ssl.create_default_context() with socket.create_connection(("example.com", 443)) as sock: with context.wrap_socket(sock, server_hostname="example.com") as ssock: tls_info = { 'version': ssock.version(), 'cipher': ssock.cipher()[0], 'extensions': [], 'elliptic_curves': [], 'ec_point_fmts': [] } # 获取完整的JA3字符串表达式 ja3_str = get_ja3_string(tls_info) # 计算MD5摘要作为紧凑型标识符 ja3_md5 = get_hash(ja3_str) print(f"JA3 String: {ja3_str}") print(f"JA3 Hash: {ja3_md5}") ``` 这段脚本模拟了一个典型的HTTPS握手过程，并收集有关所使用的协议版本、加密套件以及其他参数的信息，进而构建出相应的JA3签名。 #### 解析现有JA3指纹数据 对于已经获取到的手动输入或者其他途径得到的JA3字符串，可以通过调用专门的方法来进行反向工程，恢复原始的安全协商细节: ```python def parse_ja3(ja3_string): parts = ja3_string.split(",") result = {} try: result['ssl_version'] = int(parts[0]) result['accept_cipher_suites'] = list(map(int, parts[1].split("-"))) result['order_of_ec_points_formats'] = list(map(int, parts[-1].split("-"))) if len(parts)>2 else None return result except Exception as e: print(e) return {} parsed_data = parse_ja3("769,49195-49199-52393-49196-49200,,0") for key,value in parsed_data.items(): print(key+": "+str(value)) ``` 该函数接受标准格式化的JA3文本串作为参数，将其分割成各个组成部分后返回字典对象以便进一步操作和理解。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值