某数字藏品监控网站HMAC

花了一天时间搞了下公司需求的web 端网站本以为很简单没想到还是做了一些烦人的反爬

需求就是抓取某个商品的价格变动

不多说开始

首先你会发现按F12 没有反应是网站做了反调试
解决方法：1. 选择浏览器右上方三个点在选择开发者工具即可
2. 鼠标选中url栏，在按F12

好继续
你会发现又是这种debugger 看下调用栈找下触发的代码
找到了发现是一个定时器每2s启动一次然后一直启动
这里有个问题就是如果你选中 never parse here 它会内存爆破
导致浏览器无限卡根本没法调试
可以发现a是个数组里面就有debugger关键词

解决办法：
打断点进入函数修改变量a的值为[] 或者重置函数c为空函数

解决好内存爆破反调试之后先不急

我们先抓包看看

这里有两个请求第一个是options请求
第二个是post请求

看到第二个请求 post 你会发现

卧槽怎么没有from data 参数呢？
可以看到右下角有个json-rpc 哦哦说明是通过json-rpc方式调用的
我们只需要将上面那个json格式当作参数就行
javascript就是参数

既然参数找到了就分析下参数

{"method": "serverless.function.runtime.invoke","params": "{\"functionTarget\":\"getDetail\",\"functionArgs\":{\"time\":1652757446041,\"sign\":\"AMeEAtilAv97A5fgAvWMAF\",\"GoodsId\":\"100513858\",\"platform\":\"ibox\",\"timeType\":\"list10Min\",\"v\":\"4\",\"clientInfo\":{\"PLATFORM\":\"h5\",\"OS\":\"windows\",\"APPID\":\"__UNI__BF29E64\",\"DEVICEID\":\"16526908775569593634\",\"CLIENT_SDK_VERSION\":\"1.0.21\",\"LOCALE\":\"zh-Hans\"}}}","spaceId": "04f58204-a7de-4dc2-8197-8d63c873a510","timestamp": 1652757446050,"token": "8790cb4d-ef7d-4865-99ed-d6d8b2b4a117"
}

很明显这个timestamp 是时间戳 *1000 取整这个token 和spaceId经过我调式发现是个固定值但有几分钟时间限制
这里我主要讲解 params参数和另一个请求头里面的参数加密

观察params 可以里面有个time ，sign time就是时间戳 sign就是我们需要破解的其他的参数都是一些固定值和商品的id 不用管

接下来继续调式
跟进调用栈发现这里有个getlist 点进去看看
这里有个sign 我们继续看
sign是通过把时间戳当参数生成的继续
可以发现这个this.m.b就是加密函数
我们进这个函数看看

这里又是把时间戳拼接上一个固定字符串str_test当作参数给另一个函数经过一系列加密
既然已经知道参数是什么，这里就没有必要还原算法了，直接调用他这个b函数就行

把js代码保存到本地

用python调下函数试试看看有没有坑

发现是一样的。
那么sign的解密就完了

接下来试试模拟下请求

然后发现什么鬼我不是已经带了sign去请求吗怎么还是说没有sign

。。。

接着分析下请求

这里请求头里面还有一个sign
接着继续吧。。。

直接搜索这个参数吧
然后发现这里生成了这个sign
然后看看这个W.sign是什么首先分析参数

第一个参数n是一个对象其实就是我们post请求里面的参数
第二个参数是个字符串
直接搜索这个参数的值发现是个固定值
这里先不管继续分析下W.sign函数

sign函数里面发现把第一个参数经过一系列转化成字符串赋值给n
然后再调用y函数，把n和t传进去再通过toString方法返回字符串

我们看下这个n

"method=serverless.function.runtime.invoke&params={"functionTarget":"getDetail","functionArgs":{"time":1652758341791,"sign":"AhI/AlaIAY2JAc+zAHVRAU","GoodsId":"100513782","platform":"ibox","timeType":"list10Min","v":"4","clientInfo":{"PLATFORM":"h5","OS":"windows","APPID":"__UNI__BF29E64","DEVICEID":"16526908775569593634","CLIENT_SDK_VERSION":"1.0.21","LOCALE":"zh-Hans"}}}&spaceId=04f58204-a7de-4dc2-8197-8d63c873a510&timestamp=1652759013657&token=8790cb4d-ef7d-4865-99ed-d6d8b2b4a117"

其实就是把这个对象里面通过&符号拼接成字符串
那看下这个t参数
还是之前那个固定字符串没变

接下来看下 y这个函数

一进来吓一跳这是什么？怎么还new了下？萌新到这里应该已经蒙了这tm啥啊
不急这里有个关键字 HMAC

HMAC是个加密算法
不妨猜测下使用的HMAC加密 key就是那个固定字符串观察发现它的长度是32位那么很有可能是md5
我们用python模拟下

import hashlib
import hmackey = 'HPa3a69OmRrLM7E8nFpUqw=='.encode()
text = 'method=serverless.function.runtime.invoke&params={"functionTarget":"getDetail","functionArgs":{"time":1652758341791,"sign":"AhI/AlaIAY2JAc+zAHVRAU","GoodsId":"100513782","platform":"ibox","timeType":"list10Min","v":"4","clientInfo":{"PLATFORM":"h5","OS":"windows","APPID":"__UNI__BF29E64","DEVICEID":"16526908775569593634","CLIENT_SDK_VERSION":"1.0.21","LOCALE":"zh-Hans"}}}&spaceId=04f58204-a7de-4dc2-8197-8d63c873a510&timestamp=1652759013657&token=8790cb4d-ef7d-4865-99ed-d6d8b2b4a117'.encode()
mac = hmac.new(key, text, hashlib.md5)
mac.digest()
s=mac.hexdigest()
print(s)

然后发现果然就是这个值
完事

总结：此网站还是有一点点难度，需要点小技巧
，如果不熟悉HMAC加密的话那就会绕进那个算法里面，那将是非常痛苦的。。。

某数字藏品监控网站HMAC相关推荐

数字藏品交易平台开发数字藏品交易网站开发
"数字藏品是运用电子信息技术促进文化艺术,尤其是传统式文化创意产业概率界限的移位,是推动文化创意产业使用价值和价值'活起來'的媒介."12月21日,河北省博物院副院长赵志良在&qu ...
区块链实战：发行自己的第一款NFT(Non-Fungible Token)数字藏品
注意:该项目仅供学习区块链知识,不作为任何投资建议.市场有风险,投资需谨慎. 传送门:区块链入门:在本地网络开发自己的加密数字货币(Token)-傻瓜币(FoolCoin) 本文项目代码: GitHu ...
IBOX NFT 数字藏品价格监控工具科技
IBOX NFT 数字藏品价格监控工具科技 -7月25号由于原来的pc版本的科技使用的web端口,迫于ibox关闭的web端下单接口所有不得已又开发了一个android的科技自用锁单.监控.公 ...
经营数字藏品网站，需要哪些资质？
时下数字藏品已经成为热门话题,多家背景强大的企业推出了自己的数字藏品平台,例如鲸探.幻核.艺市界.百度超级链.网易星球等,同时,众多玩家也进场采购数字藏品,但关于数字藏品的这6个问题,玩家需要有足够的 ...
你知道吗？炒鞋的那帮人，现在去炒数字藏品了
「炒鞋.炒手办潮玩早没那么火热了,现在圈子里都是炒数字藏品了.」球鞋玩家老刘介绍着. 在 2019 年 9 月,Supreme 19 FW 的开季赠品伞兵玩具在二级市场上被炒至 2000 多元的消息刷 ...
数字藏品开发平台-按需定制+提供源码
如果说元宇宙是未来,那么数字藏品就是开启未来世界必不可少的一张门票,是连接现实世界和虚拟世界的重要载体.当下,数字藏品表现出巨大的的市场潜力,再加上各类营销玩法的助推,数字藏品为品牌们创造了可观的市场 ...
数字时代的“文艺复兴”？起底数字藏品，让人欢喜让人愁
试问,当下国内持续火爆的产品是什么?常年混迹于互联网的时代弄潮儿毫无疑问会给出答案--非"数字藏品"莫属.每小时都有数起关于数字藏品的资讯不断刷新,各家大厂.私企.名人,甚至央企都 ...
数字网络监控系统解决方案1
真正数字网络监控系统解决方案(全动态IP,局域网或广域网) Post By:2004-9-11 12:05:00 数字网络监控系统解决方案一.XM3216.NET系统特点近年来,网络信息业取得了 ...
数字藏品系统开发，APP小程序成品源码搭建开发
项目开发最重要的是追求质量,通过测试.在系统开发领域,很多项目有量无质,忽悠一些不知情的企业.NFT发展目前相当有名.我们可以做些什么来提高NFT发展的质量? 首先,找一家专业的NFT开发公司作为一 ...

某数字藏品监控网站HMAC

某数字藏品监控网站HMAC相关推荐

最新文章

热门文章