中国邮政滑块逆向分析

声明

本文章中所有内容仅供学习交流使用，不用于其他任何目的，不提供完整代码，抓包内容、敏感网址、数据接口等均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关！

本文章未经许可禁止转载，禁止任何修改后二次传播，擅自使用本文讲解的技术而导致的任何意外，作者均不负责，若有侵权，请在公众号【K哥爬虫】联系作者立即删除！

前言

粉丝答疑又双叒来了！最近仍有不少粉丝咨询逆向相关问题，K哥会尽力回复，不过毕竟精力有限，不可能说是面面俱到（忙忘了@.@）。当然，还是会尽可能多筛选些典型的案例，产出相关文章，以供大伙学习交流。本期分析的验证码，如果没有相关业务，可能很多人不会接触到，也算是较为新颖，话不多说，开始正文：

逆向目标

目标：xx 邮政滑块逆向分析

网站：aHR0cHM6Ly9wYXNzcG9ydC4xMTE4NS5jbi9jYXMvbG9naW4=

抓包分析

抓包分析，先看图片接口 gen：

返回的内容比较多，后面估计会用到，我们留意一下就行，clientUid 后文分析：

再来看验证接口，即发验证码的接口：

• id ： 图片接口返回；

• bgImageHeight： 写死即可；

• bgImageWidth：写死即可；

• clientUid：同图片接口参数 clientUid；

• deviceId：图片接口返回 deviceId；

• enmiid：需要分析；

• entSlidingTime：结束验证时间，模拟一下，校验不严；

• print：需要分析；

• sliderImageHeight：写死即可；

• sliderImageWidth：写死即可；

• startSlidingTime：开始验证时间，模拟一下，校验不严；

• trackList：轨迹列表。

验证结果：

• 失败

• 成功

逆向分析

gen 接口

该接口有个 clientUid 参数，目测是 uuid 类型， 我们全局搜索一下，发现只在 main.js 文件中存在，进去后发现被 ob 混淆：

又是经典的 ob 混淆， 这里直接借用 v佬 的插件快速还原，工具地址如下：

Github 仓库：https://github.com/cilame/v_jstools

在线分析工具：https://astexplorer.net

还原之前还需要稍微的预处理一下，比如下面这样一堆常量的花指令，以及十六进制形式的数字：

比如下面这样一堆常量的花指令，以及十六进制形式的数字

附上简单的预处理 AST 代码：

// 字符串美化
const simplifyLiteral = {
NumericLiteral({ node }) {
if (node.extra && /^0[obx]/i.test(node.extra.raw)) {
node.extra = undefined;
}
},
StringLiteral({ node }) {
if (node.extra && /\[ux]/gi.test(node.extra.raw)) {
node.extra = undefined;
}
},
}
​
traverse(ast, simplifyLiteral);
​
​
​
let my_obj = {};
​
​
const merge_odj = {
VariableDeclarator(path){
let {init} = path.node;
​
if (!types.isObjectExpression(init)) return;
​
let {properties} = init;
​
properties.forEach(property => {
// 确保属性值是字面量
if (types.isLiteral(property.value)) {
my_obj[property.key.name] = property.value;
}
});

}
};
​
traverse(ast, merge_odj);
​
​
const clearObjectofValue = {
MemberExpression(path){
let {object, property} = path.node
if (!property || !types.isIdentifier(property) || !types.isIdentifier(object)) return;
let key = property.name
let value = my_obj[key]
if (!value) return;
console.log(${path.toString()} --> ${value.value})
path.replaceWithSourceString(value.value)
}
}
​
traverse(ast, clearObjectofValue);
​
ast = parser.parse(generator(ast,{compact:true}).code)
​
​
remove_no_citation_obj = {
VariableDeclarator(path){
let {init,id} = path.node
if (!types.isObjectExpression(init) && !types.isIdentifier(id)) return;
let {scope} = path
let binding = scope.getBinding(id.name)
if (binding.referencePaths.length !== 0) return;
path.remove()
}
}
​
// 删除未被引用的对象
traverse(ast,remove_no_citation_obj)

然后再利用 v_jstools 插件中的解密高级 ob 混淆即可还原了，good：

利用浏览器的替换功能，替换 main.js 文件，注意将代码压缩替换，我们再来搜索 clientUid 看看：

返回 _0x349b8e，我们再进去到 _0x236e93 函数中看看：

发现确实是 uuid 的构造，这边引库或者扣代码都行：

• clientUid

var _0x5e9294;
var _0x31a6e3 = new Uint8Array(16);
​
function _0x2f762f() {
if (!_0x5e9294 && !(_0x5e9294 = typeof crypto != “undefined” && crypto.getRandomValues && crypto.getRandomValues.bind(crypto) || typeof msCrypto != “undefined” && typeof msCrypto.getRandomValues == “function” && msCrypto.getRandomValues.bind(msCrypto))) {
throw new Error(“crypto.getRandomValues() not supported. See https://github.com/uuidjs/uuid#getrandomvalues-not-supported”);
}
return _0x5e9294(_0x31a6e3);
}
​
for (var _0x22667e = function (_0x37736f) {
return typeof _0x37736f == “string” && /^(?:[0-9a-f]{8}-[0-9a-f]{4}-[1-5][0-9a-f]{3}-[89ab][0-9a-f]{3}-[0-9a-f]{12}|00000000-0000-0000-0000-000000000000)$/i.test(_0x37736f);
}, _0x49863c = [], _0x18d3c6 = 0; _0x18d3c6 < 256; ++_0x18d3c6) {
_0x49863c.push((_0x18d3c6 + 256).toString(16).substr(1));
}
​
function _0x19f649(_0x3d7e8f) {
var _0x238244 = arguments.length > 1 && arguments[1] !== undefined ? arguments[1] : 0;
var _0x313ed4 = (_0x49863c[_0x3d7e8f[_0x238244 + 0]] + _0x49863c[_0x3d7e8f[_0x238244 + 1]] + _0x49863c[_0x3d7e8f[_0x238244 + 2]] + _0x49863c[_0x3d7e8f[_0x238244 + 3]] + “-” + _0x49863c[_0x3d7e8f[_0x238244 + 4]] + _0x49863c[_0x3d7e8f[_0x238244 + 5]] + “-” + _0x49863c[_0x3d7e8f[_0x238244 + 6]] + _0x49863c[_0x3d7e8f[_0x238244 + 7]] + “-” + _0x49863c[_0x3d7e8f[_0x238244 + 8]] + _0x49863c[_0x3d7e8f[_0x238244 + 9]] + “-” + _0x49863c[_0x3d7e8f[_0x238244 + 10]] + _0x49863c[_0x3d7e8f[_0x238244 + 11]] + _0x49863c[_0x3d7e8f[_0x238244 + 12]] + _0x49863c[_0x3d7e8f[_0x238244 + 13]] + _0x49863c[_0x3d7e8f[_0x238244 + 14]] + _0x49863c[_0x3d7e8f[_0x238244 + 15]]).toLowerCase();
if (!_0x22667e(_0x313ed4)) {
throw TypeError(“Stringified UUID is invalid”);
}
return _0x313ed4;
}
​
function _0x236e93(_0x5bbf46, _0x3b7cda, _0x21cf16) {
var _0x574141 = (_0x5bbf46 = _0x5bbf46 || {}).random || (_0x5bbf46.rng || _0x2f762f)();
_0x574141[6] = _0x574141[6] & 15 | 64;
_0x574141[8] = _0x574141[8] & 63 | 128;
if (_0x3b7cda) {
_0x21cf16 = _0x21cf16 || 0;
for (var _0x3503fc = 0; _0x3503fc < 16; ++_0x3503fc) {
_0x3b7cda[_0x21cf16 + _0x3503fc] = _0x574141[_0x3503fc];
}
return _0x3b7cda;
}
return _0x19f649(_0x574141);
};
​
​
console.log(_0x236e93());

验证接口

重点就是 enmiid、print 参数的生成，我们通过搜索 enmiid、print 即可定位到：

从 _0x5e712c 对象中取的值，我们可以搜索 _0x5e712c 的赋值操作 "_0x5e712c =", 即可定位到目标位置：

可以看到目标的参数以及都生成好了，我们可以从前往后开始分析：

_0x5b4cc9 就是图片返回的内容，取了 webAName、miid、rc， 然后拼接了一个 weba.js 请求这个链接，通过三次 then 得到 _0x383eb4 这个对象，进去到 _0x383eb4 对象的方法或者去看 weba.js 这个文件就可以发现又是 WebAssembly 与 JavaScript 之间进行交互，跟上篇某东 m 端的 wasm 大差不差，敢兴趣的可以去看看，我们接着向下分析，通过 _0x383eb4 对象下的函数对 _0x2d1fb0、_0x354e64 进行一系列的操作最终得到了目标参数。

_0x2d1fb0 就是取的 rc，_0x354e64 是一个对象，里面的 hitId 对应 miid、deviceId 对应图片接口返回的 deviceId、_print 通过 _0x468795(_0x34c930) 返回，_0x34c930 对应 miid，然后进入到 _0x468795 函数：

通过 WebGL 在画布上绘制图形，并最终将绘制的内容转换为图像数据URL， 然后 _0x492d6a() 函数生成密文

最后再将密文与 _0x5ad970 + “|” + 密文得到我们最终返回的数据，我们断点进入到 _0x492d6a() 函数：

可能有大佬一眼就看出来是什么加密了，也可以根据长度判断，我们也可以找一下是谁调用的，在 249 中，

我们直接找 (249) ，就在下面，加密也写出来了，我们验证一下没有问题：

最后就是 _0x383eb4 对象了，我们可以仿照着写，先请求 weba.js 链接，注意 weba.js 链接是动态：

“https://kks.11185.cn/static/front/” + webAName + “/bin/weba.js”

保存发现：

已经帮我们把对象给导出了，如下操作即可：

weba = require(’./Weba.js’);
​
window = global;
​
function ZxptRestKks(rc, _0x354e64){
var result;
var flag = false;
weba().then(function(Module) {
if (Module) {
_0x2d1fb0 = rc; // rc
window[_0x354e64.deviceId] = function () {
return _0xa2b2bc = Module.allocateUTF8(_0x2d1fb0);
};
// 访问 PromiseResult 下的属性
_0x156e64 = Module.allocateUTF8(JSON.stringify(_0x354e64));
_0x3e92b3 = Module._rotate(_0x156e64);
_0x57276e = Module.UTF8ToString(_0x3e92b3);
result = JSON.parse(_0x57276e);
flag = true;
}
}).catch(function(error) {
// 处理 Promise 被拒绝的情况
console.error(error);
});
while (!flag) {
require(‘deasync’).sleep(100);
}
;
return result;
};

最后就是一些细节风控的处理，该验证码对距离的识别要求较高，轨迹要求不高，会封 ip 和 ua，速度快了，也会影响成功率，在 cv2 识别后，加上延迟即可，成功率 99%。附上处理代码：

• cv2 识别

def identify_gap(bg, tp):
""“
bg: 背景图片
tp: 缺口图片
out: 输出图片
”""

读取背景图片和缺口图片

bg_img = cv2.imdecode(np.frombuffer(bg, np.uint8), cv2.IMREAD_GRAYSCALE)
tp_img = cv2.imdecode(np.frombuffer(tp, np.uint8), cv2.IMREAD_GRAYSCALE) # 缺口图片
yy = []
xx = []
for y in range(tp_img.shape[0]):
for x in range(tp_img.shape[1]):
r = tp_img[y, x]
if r < 200:
yy.append(y)
xx.append(x)
tp_img = tp_img[min(yy):max(yy), min(xx):max(xx)]

识别图片边缘

bg_edge = cv2.Canny(bg_img, 100, 200)
tp_edge = cv2.Canny(tp_img, 100, 200)

转换图片格式

bg_pic = cv2.cvtColor(bg_edge, cv2.COLOR_GRAY2RGB)
tp_pic = cv2.cvtColor(tp_edge, cv2.COLOR_GRAY2RGB)

缺口匹配

res = cv2.matchTemplate(bg_pic, tp_pic, cv2.TM_CCOEFF_NORMED)
min_val, max_val, min_loc, max_loc = cv2.minMaxLoc(res) # 寻找最优匹配

# 绘制方框

th, tw = tp_pic.shape[:2]
tl = max_loc # 左上角点的坐标
br = (tl[0] + tw, tl[1] + th) # 右下角点的坐标
cv2.rectangle(bg_img, tl, br, (0, 0, 255), 2) # 绘制矩形
cv2.imwrite(‘distinguish.jpg’, bg_img) # 保存在本地

返回缺口的X坐标

print(f’value: {tl[0]}’)
return max_loc[0]
​
​
value = identify_gap(requests.get(backgroundImage).content, requests.get(sliderImage).content)
value = int(value * 0.55)
print(value)
time.sleep(1)

• 轨迹构造

def get_sub_trajectory(trajectories, value):

检查value是否在轨迹的x值中

for trajectory in trajectories:
if trajectory[‘x’] == value:

如果找到，截取从轨迹开始到该点的子数组

return [t for t in trajectories if t[‘x’] <= value]
​

如果value不在x值中，找到最接近value的x值

closest_x = None
min_diff = float(‘inf’)
for trajectory in trajectories:
if abs(trajectory[‘x’] - value) < min_diff:
min_diff = abs(trajectory[‘x’] - value)
closest_x = trajectory[‘x’]
​

截取从轨迹开始到最接近的x值的子数组

return [t for t in trajectories if t[‘x’] <= closest_x]
​
​

调用函数

trackList : 浏览器生成的最大距离轨迹

value = 128 # 假设我们要找的value是 128
sub_trajectory = get_sub_trajectory(trackList, value)
sub_trajectory[-1][‘type’] = 'up’
print(sub_trajectory)

结果验证