知乎X-Zse-96参数分析

最新推荐文章于 2025-02-24 08:51:07 发布

潜水学技术

最新推荐文章于 2025-02-24 08:51:07 发布

阅读量259

点赞数

文章标签：系统安全

本文链接：https://blog.youkuaiyun.com/qq_35231971/article/details/132007702

版权

文章探讨了在分析知乎请求包时遇到的签名参数问题，特别是对加密函数的分析。作者使用了Webpack导出方法来提取加密代码，并尝试通过黑盒调用来复现浏览器中的行为。然而，由于环境差异，需要使用VM框架如肉丝的VM来补充缺失的环境变量，以匹配浏览器中的执行结果。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在分析知乎请求包重发的时候发现有个签名参数，浅分析下
在这里插入图片描述
在源码里面搜X-Zse-96，有两处全部打上断点，

断在了这，这里的t0是版本号，tT就是签名，看一下来自于ef,

tq(ti).encrypt)(tg()(td))这里这个函数就是加密的地方，tq(ti).encrypt)(tg()(td))的意思相当于，调用tq(ti).encrypt这个函数，参数是tg()(td)，
进去跟进去查看实现
在这里插入图片描述
这里就是入口的函数，传入的tt是一个md5，32位，这个参数在另外一个函数里就不分析了,进入这个加密函数里面发现，非常多的case,

这种就是jsvmp了，硬扣的话不好分析，尝试黑盒直接调用，看了下这个源码，看到很多导出函数，是使用webpack打包的，看了下别人的博客找到一个快速扣webpack的方法，原文webpack导出
就是找到导出函数后加几行代码
在这里插入图片描述
这里可以看到加密的部分在1514这个块里面，所以主动调用一次，输出code，就可以吧代码和依赖导出来了，然后替换掉原来的一大串代码，
导出到全局window,然后调用一下

这里可以输出结果，但是结果和浏览器不一样，还需要补环境，补环境这里使用的是肉丝的vm框架，也可以使用proxy补，查看调用哪些对象，然后一个一个补。