- 博客(228)
- 收藏
- 关注
RSS订阅
转载 当爬虫工程师遇到 CTF丨2021 年 B 站 1024 安全攻防题解
文章目录第一题：加密解密第五题：APP 逆向总结最近看到哔哩哔哩上线了一个 1024 程序员节的活动，其中有一个技术对抗赛，对抗赛又分为算法与安全答题和安全攻防挑战赛，其中安全攻防挑战赛里面有 7 个题，其中有 APP 逆向和解密的题目，作为爬虫工程师，逆向分析的技能也是必须要有的，于是 K 哥就以爬虫工程师的角度，尝试做了一下其中逆向相关的两个题，发现逆向不是很难，分享一下思路给大家。（以爬虫工程师的角度分析安全攻防的题，网安大佬勿喷！）1024 程序员节活动地址：https://www.bi..
2021-10-23 18:15:50
12680
9
原创 JS 逆向之 Hook，吃着火锅唱着歌，突然就被麻匪劫了！
关注微信公众号：K哥爬虫，QQ交流群：808574309，持续分享爬虫进阶、JS/安卓逆向等技术干货！什么是 Hook？Hook 中文译为钩子，Hook 实际上是 Windows 中提供的一种用以替换 DOS 下“中断”的系统机制，Hook 的概念在 Windows 桌面软件开发很常见，特别是各种事件触发的机制，在对特定的系统事件进行 Hook 后，一旦发生已 Hook 事件，对该事件进行 Hook 的程序就会收到系统的通知，这时程序就能在第一时间对该事件做出响应。在程序中将其理解为“劫持”可能会更.
2021-09-29 14:35:45
27310
2
原创 K哥爬虫工具站，船新版本，重磅上线！
KGtools 不是什么大东西，它就是把爬虫开发里那些你每天都要做、但每次都得打断思路的操作，收拢到一张顺手的工作台上。JSON 出错时帮你找到位置、看懂原因；面对一长串 UA 帮你读出客户端信息；加解密验证完，把当前逻辑和参数一起带进可运行的脚本。我自己就是工具站的第一用户。今天既是向大家汇报工作，也想听听大家还缺什么。众人拾材火焰高，凡是有用的建议我后面都会尽快更新迭代！
2026-11-05 15:18:32
333
原创 DeepSeek 上线网页搜索和抓取功能！！！
技术迭代一日千里，互联网热点转瞬即逝。在 AI、算力、漏洞、攻防交织的数字世界里，很多事件往往只剩下碎片化截图、简短段子与情绪化结论。一场模型风波、一次重大漏洞、一桩数据泄露，喧嚣几天就被新热点覆盖，背后完整的技术逻辑、多方博弈、行业规则与伦理冲突，很少被完整留存。为此，K哥新开<互联网事件录>专栏，聚焦互联网、计算机、AI、网络安全等领域新闻深度复盘。致力于把事件从头梳理：还原完整时间线，拆解底层技术背景，客观陈列各方公开陈述，区分网络传闻与可查证事实，挖掘事件背后的产业、合规、攻防与人性议题。
2026-10-21 10:59:39
171
原创 【验证码逆向专栏】某美世界卡状态查询滑块逆向分析
近期收到私信，有群友咨询某美世界的反爬相关问题。本文就针对某美世界的卡片状态查询页面，拆解其验证码机制与完整业务查询流程。
2026-09-14 17:40:43
200
原创 【JS 逆向百例】Vaptcha V4 手势验证码逆向分析
近期 vaptcha 验证码迎来了一次重大迭代，正式推出全新的 V4 版本。相较于迭代稳定、逻辑固化的旧版，V4 彻底重构了整套验证架构与算法流程，其将行为轨迹、生物特征、设备指纹、POW 与 AI 风控模型整合到统一验证链路。V4 版本由 AI 动态生成手势背景图，叠加点状、线状噪声（水彩溅点、墨点、火花、星点等等）、诱导线，轨迹同源伪装、软边发光、羽化，进一步提升了识别路径的复杂度。
2026-08-24 17:34:50
591
原创 【AI 逆向专栏】Akamai dvc 参数逆向分析
本文介绍了逆向分析某酒店网站dvc参数的过程。首先通过解混淆定位到目标JS文件中的D1函数，然后利用AI辅助补环境并分析算法。通过多次调试和验证，发现dvc值由设备信息、时间戳等参数计算生成，最终在Node.js中复现了与浏览器一致的算法结果。文章强调仅供学习交流，提供了逆向思路和AI辅助分析的方法，完整算法和解混淆文件可在知识星球获取。整个过程展示了如何结合传统逆向与AI技术解决动态参数问题。
2026-08-17 17:53:51
658
原创 【AI 逆向专栏】SpiderDemo 弧度验证码逆向分析
做爬虫逆向的朋友想必深有体会：线上真实站点的反爬机制五花八门，直接上手实战极易踩坑，想系统实操又找不到安全合规、体系完整的练习环境。本文推荐一个反爬虫练习平台 —— SpiderDemo，不用找零散案例、不用搭建本地靶场，打开网页就能刷题，循序渐进吃透主流反爬技术。
2026-08-03 17:43:32
1488
原创 【AI 逆向专栏】某象刮刮卡验证码逆向分析
在人工智能技术飞速迭代的今天，AI 大模型已突破传统技术边界，从基础的模式识别、数据解析，升级为具备自主学习、逻辑推理、复杂问题拆解能力的核心赋能工具，其强大的算力与智能分析能力，正重构各行业的技术路径，逆向工程领域也不例外。曾经，协议逆向、接口解析、产品反编译等工作，往往依赖工程师长期的经验积累、繁琐的手工调试，不仅耗时耗力，更易在复杂代码、加密协议中陷入瓶颈，难以实现高效突破。
2026-06-29 17:45:33
804
原创 【AI 逆向专栏】古法 & AI：某程滑块验证码逆向分析
最近收到私信，询问关于某程滑块的解法，难度不大。经过分析，完全可以通过 AI 来完成逆向，本文将对该站进行相关分析。
2026-06-29 17:45:01
854
原创 【AI 逆向专栏】AI 新探索：拆解某里 234 混淆
本文章中所有内容仅供学习交流使用，不用于其他任何目的，不提供完整代码，抓包内容、敏感网址、数据接口等均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关！本文章未经许可禁止转载，禁止任何修改后二次传播，擅自使用本文讲解的技术而导致的任何意外，作者均不负责，若有侵权，请在公众号【K哥爬虫】联系作者立即删除！最近主要想测试一下 AI 在 JS 解混淆层面上的强度，所以拿某里的混淆代码完整跑了一遍。经过测试，我用最直白、最简洁、最不绕弯子的话术总结：AI 确实很强，但 token 消耗也
2026-06-08 17:32:32
501
1
原创 【AI 逆向专栏】图标文字点选类验证码逆向、识别，对古法的全面冲击
当下早已是全民 AI 的时代，人工智能不再是遥不可及的科技概念，而是深度扎根在程序员日常工作里的必备搭档。从需求梳理、代码编写、BUG 排查，到逆向分析、脚本开发以及文档撰写（比如这个前言哈哈）等等，AI 早已渗透到程序员工作的每一个环节。习惯了 AI 辅助提效的我们，早已离不开这种事半功倍的工作模式：繁琐的重复代码一键生成，难解的报错快速定位，复杂的逻辑思路瞬间梳理，极大节省了时间精力，提升了开发效率。
2026-06-01 17:57:17
944
原创 【JS逆向百例】某眼查风控参数 if-match 逆向分析
本文章中所有内容仅供学习交流使用，不用于其他任何目的，不提供完整代码，抓包内容、敏感网址、数据接口等均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关！本文章未经许可禁止转载，禁止任何修改后二次传播，擅自使用本文讲解的技术而导致的任何意外，作者均不负责，若有侵权，请在公众号【K哥爬虫】联系作者立即删除！最近浏览私信时，发现有小伙伴在跑某眼查相关业务时，遇到一点问题，说自己被风控参数按住了，但是自己的解决办法又不是特别效率，特此来向 K 哥求助，K 哥会尽力满足粉丝需求，本文就对该
2026-05-11 17:51:11
1075
原创 【AI 逆向专栏】某搜登录逆向
近来，AI 的浪潮席卷并重塑了各行各业，互联网领域首当其冲、受冲击尤为剧烈。早先被讨论最多的或许还是前端工程师，而随着大模型持续迭代、能力不断突破，如今这场变革早已蔓延至整个互联网行业，对每一位从业者都构成了前所未有的挑战。“要么拥抱 AI，要么被 AI 替代”，这句话正从一句警示，变成越来越真切的行业现实。如果仍抱着几年前的固有印象，把 AI 当成可有可无的 “玩具”，固守旧有工作方式不愿升级，很快就会在效率竞争中掉队，甚至被更懂工具、更能协同 AI 的人所取代。这不是在危言耸听！
2026-04-20 17:47:43
1774
原创 【JS逆向百例】某 _rand DOM 检测分析：CSS 动画终态与样式回读
本文章中所有内容仅供学习交流使用，不用于其他任何目的，不提供完整代码，抓包内容、敏感网址、数据接口等均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关！本文章未经许可禁止转载，禁止任何修改后二次传播，擅自使用本文讲解的技术而导致的任何意外，作者均不负责，若有侵权，请在公众号【K哥爬虫】联系作者立即删除！_rand 是前段时间新增的参数，哪个里的就不说了，本文将对其相关环境检测点进行研究分析，参数都有时效性，主要分享思路。部分代码同步上传至知识星球，仅供学习交流。全局搜索 ，定位到
2026-04-08 09:20:12
1206
原创 【JS逆向百例】Vercel 盾纯算与补环境分析
最近有小伙伴微信留言，询问关于某网站 wasm 的解法，经过分析是通过 wasm+worker 执行链来进行加密的，属于初级难度，网上的相关文章基本都是水文，本文就对该 demo 站进行逆向分析。
2026-03-30 18:23:03
1383
原创 东欧社交巨头 “洗牌” 谜题，乱序验证码逆向拆解全记录
connectionDownlink、connectionRtt 都是网络相关的参数，一个是下载速度或下行带宽，一个统计数据包从发送端到接收端再返回发送端所需的总时间，至此请求参数分析完成了。打开网址，选择邮箱登录，随便输入一个未注册的邮箱号，比如 aaw2，方便触发风控验证。生成二维码时就会触发，因此该值需要在首页调试，否则都是从封装的 IndexedDB 中取已存储的值，无法定位生成逻辑。接着往下跟，到下图处就会发现，i 即 adFp 参数的值，因为 o 为 undefined，所以生成逻辑就在。
2026-02-10 17:08:23
1994
原创 【验证码逆向专栏】tianai行为验证wasm逆向分析
最近有粉丝投稿，说之前写的文章失效了，新版上了 wasm，而且轨迹校验也严格，手动滑都不一定能过去，网上相关文章也少之又少，本文就对该 demo 站进行逆向分析：
2026-01-15 11:48:43
1775
原创 【JS逆向百例】某度 Acs-Token、ab_sr 逆向分析
最近浏览 优快云 博客的评论时，看见有位粉丝表示，案例网站做了更新，之前的教程已经失效了。相信很多小伙伴的入门练手案例都有某瓣、某道、某度翻译，因为复杂度相对较低，但是人家也不可能一直都是“软柿子”，这些年也有过几次更新。例如某度翻译，K 哥就曾伴随更新写过两篇文章，22 年新增的Acs-Token参数，相关加密算法的 js，最初还自注释为“玉门关”，这应当是尚未完全更新，有些注释都描述的很清晰，后续又更新了几轮，这些痕迹自然就没有了。在加密算法的处理上，也用上了当时较火的 JSVMP，算是上了一道坎。
2025-12-23 11:25:40
2986
原创 TG买卖60W公民信息，有期徒刑三年无缓刑！
罗某某，男，汉族，大学专科文化，户籍所在地江西省吉安市。从2024年3月份开始，罗某某通过翻墙到外网软件telegram上购买、翻墙到外网软件telegram上或在微信群聊里非法下载留存、等方式非法获取公民信息。后来经公安部门对查获的公民个人信息数据进行去重、无效信息去除后统计，罗某某：翻墙到外网telegram软件上购买的公民信息共144858条；翻墙到外网telegram软件上下载公民信息共201851条；利用爬虫脚本在政府网站上爬取公民技能资格证书共283557条；
2025-12-12 16:59:43
1806
原创 爬身份证照片？PS身份证？批量注册套利？灰产的尽头是手铐！
被告人曹某某、覃某某、明某某到案后，如实供述自己的犯罪事实，是坦白，依法予以从轻处罚。三人对公诉机关指控的犯罪事实和罪名均无异议，并请求从轻处罚，但只有明某某找了律师，他的律师提出：明某某具有坦白、无前科、系初犯偶犯、积极退赃、主观恶性小等从宽情节，建议从轻处罚并适用缓刑。2019年1月份，曹某某正处于大学实习期阶段，但他没有好好去找一份正经的实习工作，而是打算在网上找找赚钱的路子，结果曹某某一开始就走了歪路，研究的项目竟然是在网上帮人PS身份证。情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
2025-12-10 17:32:21
952
原创 【验证码逆向专栏】某团验证码逆向分析
近期，有粉丝私信，说工作中碰到了某团的验证码，他弄了一段时间，还是没能很好的解决掉，希望 K 哥能帮忙看下，出篇文章。
2025-12-05 11:08:32
2297
原创 【验证码逆向专栏】某 DN 验证码逆向分析
最近在逛某 SDN 的时候，突然触发了滑块验证码（应该是风控权重加高了），因为没有相关业务，还是第一次看到该站的验证码，正好，可以用来充实验证码逆向专栏。风控的验证码不好触发、调试，不过一般登录会上和风控一样的验证码，目前登录是文字点选验证码，风控是滑块验证码，算法上差别不大。
2025-10-23 10:02:17
2020
1
原创 【JS逆向百例】某坤行 1101，雪球 1038，新 acw_sc__v2 逆向分析
最近有小伙伴博客留言，询问关于雪球 1038 长串的相关逆向思路，该参数整体难度中等，有些细节地方会导致最后生成的参数无法使用，在了解长串之前先分析一下基础的短串（某坤行），由简到繁。非业务项目，本文仅对该参数进行逆向分析，仅供学习交流。
2025-10-10 18:04:54
2561
原创 【APP 逆向百例】某当劳 Frida 检测
发现并没有 libDexHelper.so 相关的线程，这是什么原因呢？相关 hook 脚本，会分享到知识星球当中，需要的小伙伴自取，仅供学习交流。发现闪退，老样子，按照之前的思路，我们可以先 hook。至此，该 app 的 frida 检测分析流程就结束了。知道在这个 so 文件加密之后，我们直接 hook。我们主要关注上面 a3 的值，按住 tab 键找到。我们用 ida 打开 libc.so 文件，搜索。是 Linux/Android 系统的一个。
2025-09-11 17:33:15
2758
1
原创 单纯违反robots协议、仅爬取公开数据不宜入罪!
最后经过整理证据，严查细审，确定了陈某等人利用爬虫技术获取数据的行为系通过破解某电商平台App客户端与服务器端加密数据接口，本质上是在未经授权情况下获取了非公开数据，属于非法获取计算机信息系统数据，同时，其绕过该电商平台App向其用户发送私信牟利的行为，应当评价为非法控制计算机信息系统。违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；
2025-07-21 10:47:45
2126
原创 【验证码逆向百例】某手滑块算法分析
之前私信、星球提问中，有不少小伙伴咨询了某手滑块验证码的相关问题，该验证码整体难度不算高，不过有些细节会导致最终验证的成功率。该站过验证码其实就是激活 cookie 中 did 的过程，流程中存在问题，还可能出现过了验证码，但是 did 仍不可用的情况，ip 够纯的话，不会触发验证码风控（个人主页）。
2025-07-21 09:46:40
3624
原创 【JS逆向百例】aws-waf-token 算法与九宫格验证码分析
最近有小伙伴私信，询问关于某时捷官网亚马逊 cookie 反爬以及验证码的相关问题，该站有 cookie 无感和九宫格验证码，本篇就对该站进行逆向分析，以及如何不训练就秒掉这类型的验证码。
2025-07-07 13:54:59
3842
原创 【APP逆向百例】某品会 app 逆向分析
和我们主动调用的结果一样，最后用 python 改写发包即可，至此，加密参数分析完毕，相关代码，会放到知识星球中，仅供学习交流。某瓣 app 逆向分析：https://mp.weixin.qq.com/s/i_k_QOfgAV33_2u9T4OnxA。python 重放请求，发现请求头需要 authorization 参数。第三次的入参为我们前面的盐加上第二次 sha1 算法加密的返回的结果。
2025-07-07 13:49:32
2983
原创 【验证码逆向专栏】V5验证码逆向分析
最近有粉丝反馈关于 v5 验证的相关问题，不知道 wss 协议的滑块应该如何下手，该网站通过 wss 协议传输进行验证码的校验，本文就来针对这个demo站进行逆向研究。
2025-06-09 17:43:28
2680
1
原创 【验证码逆向专栏】某采购网，360 磐云盾、文字点选验证码逆向分析
最近星球有个小伙伴，公司是做 gov 相关业务的，碰到一个采购网站，感觉有些棘手，故咨询 K 哥。该业务网站，一打开，转起来了，当然，和国外产品，完全不是一个量级。
2025-04-28 11:23:49
3034
原创 【验证码识别专栏】某盾躲避障碍与某里图像复原验证码识别
近期有粉丝咨询验证码识别相关的问题，是某里 v2 系列中的验证码，其也属于新的验证码类型，但是如果能吃透往期验证码识别相关的文章，这类型验证码的解决方法也是大同小异的。
2025-04-21 13:10:33
4410
原创 【APP 逆向百例】淘某热点 APP 逆向分析
定位这个参数的方法有很多，可以直接搜索关键字 sign，也可以 frida 进行 hook，这里我们使用 frida 对 Java 的。可以看到，deepseek 说的也很清楚明了，先进行加盐，然后 base64 编码，最后进行 sha1 算法进行加密。命令进行 frida 注入，注意捕获到的东西可能有点多，可以在输出一段时间后，在控制台输入 exit 回车关掉。发现结果一致，我们继续向下分析，点进去这个函数，最后定位到 native 层加密，并加载。这个函数接受一个字符，该字符的长度以及。
2025-04-07 10:10:08
2429
原创 【验证码逆向专栏】某盾 v2 滑动验证码逆向分析
之前分析了某盾 Blackbox 的指纹算法， 这次再来做做它的验证码，该指纹算法在验证码参数里面也会有用到，详细查看往期文章 ：【JS逆向百例】某盾 Blackbox 算法逆向分析：https://mp.weixin.qq.com/s/ueWVmlpLOljOLb1a7vEBag。
2025-03-03 17:38:49
2803
2
原创 【APP逆向百例】某蜂窝逆向分析
unidbg 是一款基于 unicorn 和 dynarmic 的逆向工具，一个标准的 java 项目，它通过模拟 Android 运行时环境，让用户能够在没有实际设备的情况下，分析和调试 Android 应用的行为。把作者给的样例，例如 TTEncrypt 代码 copy 一份，改一下，这个 app 检测环境较少，可以算入门 unidbg 的案例，基本上简单修改完作者给的代码样例就能使用。注意，捕获的东西有点多，可能导致卡死、应用闪退，可以在输出一段时间后手动关掉，或者根据相关字段进行过滤。
2025-03-03 17:35:16
2875
原创 【验证码逆向专栏】最新某验四代动态参数逆向详解
近期查看星球群聊，发现有群友讨论关于某验蝌蚪文的问题，根据以往经验来看，绝对不仅仅是单纯的 js 混淆，而逻辑不变。
2025-02-10 18:22:45
3478
原创 【JS逆向百例】某盾 Blackbox 逆向分析
本文只对某盾 Blackbox 的其中一种算法进行逆向分析，不涉及指纹风控、环境部分。也是由时间戳、随机数组成，可以重新刷新，我们看看还有什么参数是走的这个算法。算法的源码，会分享到知识星球当中，需要的小伙伴自取，仅供学习交流。进入到该函数内，重新下断点刷新网站，单步往下跟，定位到最后。搜索发现 在 js 文件中是写死的，经过测试是标准的。接口的这些请求参数，非常之多，但是不要怕，慢慢来。将前面的请求参数，拼接成字符串，然后再进行。可以直接扣 js 代码，不多，或者直接用。
2025-01-20 18:12:54
2764
原创 【APP 逆向百例】某豆 app 逆向分析
SDK Platform-Tools 包含多个实用工具，其中最常用的是。ADB 是一个通用的命令行工具，提供 Android 设备与 PC 端之间的桥梁。安装和调试应用程序。操作设备上的文件。查看设备的状态信息。执行其他与设备相关的操作。
2025-01-13 16:07:44
3320
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人