原与宙 协yi头参数解密（混淆JS）过程分享

sishen521

引语：今天下午无聊逛问答区，无意间看到了https://bbs.125.la/thread-14724472-1-2.html这片帖子。虽然已经结贴了，但是抱着学习练手的心态去看了看网站。结果发现就是近期比较热门的数字藏品。但是讲道理，这些网站的加密确实比之前虚拟币之类的zc登录要有难度。好了，话不多说，回归正题！
事先声明：本人是个小白，没有经过系统的学习，部分地方讲解不到位还请谅解！！！
目标网址：aHR0cHM6Ly93d3cubmZ0Y24uY29tLmNuL3BjLyMvbG9naW4=

打开网站，随便输帐号密码然后开F12抓包点登陆，发现协yi头有4个看上去是加密的参数

那就随便挑一个用Search功能搜索一下。结果挺好 ，就一个JS有这个值，点进去看看！

进入后一眼望去，猜一下“_0x22e4b3”这个混淆之前的名字应该就是header（协yi头）。那么往上面看，紧挨着正好有这么4个变量的定义，那么就依次下断点调试
（悄悄话：nftcnapitimestamp这个一看英文名字就知道是个时间戳，看到JS代码 new date（）啥啥啥   那肯定就没跑了 所以也就不用调试咯）
1、nftcnApiAppId：第一个nftcnApiAppId一看名字知道是个ID，跟进去得到值是"nftcn-app-web"

（这个类型跟之前http://tools.liumingye.cn/music的搜索过程很像。也是混淆后各种值从一个定义的数组里面慢慢取 调试费劲哟）
2、nftcnApiNonce：_0x1033c0()函数跟进去看看结果如下


直接将这一段代码复制到鬼鬼JS里面进行调试。加载代码→双击函数名→系统引擎运行→报错:'_0x29b5c8' 未定义
返回JS界面去看一下_0x29b5c8是个什么东西。

就是一个读取数组值的玩意儿，应该用处不大，我选择删掉！！
删掉后报错：_0x2d4ac4 is not defined
再看一下代码：_0x2d4ac4(0x4f7)   调试结果为：charAt
整合一下再看 _0x4c16bd[_0x2d4ac4(0x4f7)] →'0123456789'[charAt]  （charAt() 方法用于返回指定索引处的字符。索引范围为从 0 到 length() - 1。）
好，解决一个报错了，再往后看。Math[_0x2d4ac4(0x297)]→Math.length
OK,再次加载代码→双击函数名→系统引擎运行→返回内容：266693530148844427110  又搞定一个参数
（这里解释一下为啥把var _0x2d4ac4 = _0x29b5c8;删掉。 因为通过调试后，发现这个定义在下面调用的时候其实是一个定值，而且还是一个JS的方法。我猜这可能就是这个混淆加密的一个模式吧。先定义一个变量，之后调用预先设定好的数组进行后续操作。应该是为了增加我们阅读代码的难度吧 ）
3、nftcnApiAppSecret：定义如下
_0x5eee6b()(_0x2afec5 + _0x453013)[_0x4e820a(0x4a9)]() 翻译后 _0x5eee6b()(nftcnApiAppId+nftcnApiNonce).toUpperCase()    (toUpperCase就是到大写的意思)
但是通过鼠标左键框选部分代码看提示信息，没找到函数调用的地方。但是看0x5eee6b()(nftcnApiAppId+nftcnApiNonce)的结果，非常像MD5。然后我就试了一下，诶嘿，还真的猜成功了
这行混淆的定义就是 nftcnApiAppSecret=md5(nftcnApiAppId+nftcnApiNonce).toUpperCase()
4、nftcnapisignature：（难点来了）
这个参数通过Search是搜索不到定义的地方。

那没办法咯，就从这4个参数下面打断点挨个找呗
果然  在下面的第三、四行 var _0x5a5961 = _0xf7566a(_0x4d1f4a(_0x22e4b3));
return _0x20f395 = _0xd0622a(_0x5a5961);
通过动态调试发现var _0x5a5961 = _0xf7566a(_0x4d1f4a(_0x22e4b3)) → var _0x5a5961= "nftcnApiAppId=nftcn-app-web&nftcnApiAppSecret=9728C558DB6E753E5CA9143C871C682F&nftcnApiNonce=740149513290464928441&nftcnApiTimestamp=1649166043354&password=123456789&username=13888888888"
这不就是字符串的拼接嘛 而且里面的参数不是帐号密码就是刚刚找到的加密参数（一个MD5校验nftcnApiNonce还不够，还要校验整个提交参数）
接着看第四行代码。经过调试 _0x20f395 = _0xd0622a(_0x5a5961) →_0x20f395 = "cjja6r/KNU9tWP+84qd1ZxagZaG19AcWJ+U6mnucpQr4/kRnHP5A7GLkvLx8qFeWzyJleex0t2k1YieALD70sBu/RjtzuiwLTPxhTUcl4sM0jJe6B+cOmeHDkX+hthoLF5m6PDLn68U/Of2efrka8QNxlXeclUOZKPG6DUvdKIHECcb3RBPpLG4oM/c4rUe5ZL2TuJAS7ik+XsZCp9r9nYr+WAmArIix6mRjOa+CLm3w5x//CD0RvQ868Wl+UM5E3ZnzHcsyZ8IgTqqZhQWqyoL7cQErhHrmWH8219U5nCK98cwMJEUU2NCKsDAG5CsvGoAWoA0TyZ8Y9jCwxyg7vQ=="
看上去就很像加密的地方咯，跟进去看看

开心，多么明显的RSA加密方式呀。直接找一个rsa加密模板套一下应该就出结果了。。。经过一段时间的测试，发现并没有那么简单
然后再次动态调试了半天，_0x38dd54 = new _0x51630a['a'][(_0x3af8a5(0x40e))]() 这就是一个实例化对象，改装后如下：

再往下跟就改不动了，但是发现了一个关键词“sha256withrsa”  百度一下得知，这是一个常见的签名算法。但是这个混淆JS看的我实在头晕眼花，最后从网上下载了一个e2ee支持库，借用了这个帖子的例子https://bbs.125.la/forum.php?mod ... light=sha256withrsa 将nftcnapisignature算法搞定

最后附上“成果”

总结一下：心累！！！  唉 还是自己知识没学扎实。找加密全靠偷机取巧，但收获还是有的。起码像这种混淆的JS我是第一次靠自己的能力读懂的，也大概明白了混淆JS的门道

zheng422

感谢分享！  支持一下！  

东海龙王

感谢分享

QQEat

支持一下！

网络注册会员

感谢分享

秒cond

666666666666666666

fsblog

这个算法好像更新了！楼主有空追更一下嘛!正在学习

ctry78985

支持~！感谢分享

lcb915

确实写得很详细

longgekaifa

感谢分享，很给力！