【web逆向】全报文加密流量的去加密测试方案

aHR0cHM6Ly90ZGx6LmNjYi5jb20vIy9sb2dpbg 国密混合

WEB JS逆向篇

先看报文：请求和响应都是全加密，这种情况就不像参数加密可以方便全文搜索定位加密代码，但因为前端必须解密响应的密文，因此万能的方法就是搜索拦截器，从第一行下断点分析，以找到加密的位置。

在这里插入图片描述

通常vue前端会使用axios配置拦截器，如下图，在搜索到的api.js的134、187行下断点，然后任意请求即可。

在这里插入图片描述

实际操作的时候断点建议打在第一个箭头函数和第二个箭头函数的第一行，避免因参数差异越过需要分析的逻辑。

在这里插入图片描述

做一下简单审计和判断，由于参数保存在config里，所以重点关注对config操作的代码，步入173行的函数进一步分析。

在这里插入图片描述

84、93行和96行看到加密方法了，分别是在post和get情况下对参数加密处理的逻辑。调试时由于是post方法，故步入84行函数调用。
在这里插入图片描述

步入该方法才实际调用加密函数本身，对应的猜测29行是解密函数，顺便下个断点。
在这里插入图片描述

该金融公司用的名为microAppSafety的js文件是个加解密库，且做了如上形式的混淆（本例涉及国密，该公司其它站点下使用类似文件名的js加解密库或均采用了国密）
混淆严重影响了源码的分析和阅读，但由于目的不是了解其加密逻辑的具体实现，到此该节就结束了，刚才解密的断点待服务器响应后也会停住，同理分析即可。
后记：该站点实际于测试环境进行，与生产环境的代码略有不同（源码形式不同，非代码实现不同），起初分析的时候由于种种原因都没有找到加密的函数，但在生产环境下找到，反推测试环境：找到的加密函数的关键字"encryptData"在测试环境中同文件里搜索并下断点，才得以成功完成测试环境的分析。

加密/验签策略定位技巧总结

前端加解密通常涉及两个开源库：CryptoJS和JSEncrypt，两个库的代码分别形如：

//CryptoJS
var wordArray = CryptoJS.enc.Utf8.parse('𤭢');
var utf8  = CryptoJS.enc.Utf8.stringify(wordArray);//JSEncrypt
var crypt = new JSEncrypt();
crypt.setKey(__YOUR_OPENSSL_PRIVATE_OR_PUBLIC_KEY__); 
var text = 'test';
var enc = crypt.encrypt(text);

单个参数加密

全局搜索加密的参数名，并跟踪从取值到请求过程值的变化（处理）
加密位置常见于:

  1. 赋值处（从组件取值时）
var pwd = $('#pwd').val();
var pwd = encrypt(pwd);
  1. 拦截器处理当中和ajax之前；
    在这里插入图片描述

全报文加密

  1. 全局搜索interceptors.request.use并对其下断点单步分析
  2. 调用栈分析
    无法确认哪一帧调用的加密时，从较早的帧开始分析传入的参数是明文还是密文，并在数据为密文的第一帧的上一帧下断点，基本就可以分析处加密的位置了。
    2.1. 从“网络“（浏览器开发者工具栏）中定位某个全报文加密的XHR请求（图示使用firefox,chrome中在启动器一栏中查看调用栈）
    在这里插入图片描述

2.2. 对全报文加密的请求设置XHR断点，查看调用栈

加密形式判断

  1. 数字信封：随机数生成对称密钥加密数据（一次一密）-》公钥加密对称密钥-》传输：
    两个值：jsonData,key或一个值：一个公钥加密的值包含对称密钥和数据密文
  2. 单一形式的加密
    仅使用对称或非对称密码进行加密，复杂加密机制的通常会有密钥协商（交换）的过程或其他一些密钥安全的机制，如：每个请求前先请求getPubkey获取公钥（非对称）、使用两对密钥，前端硬编码用于加密的公钥A和用于解密的私钥B,后端使用私钥A解密，使用公钥B加密，（非对称，因此前端如果发现PRIVATE_KEY和PUBLIC_KEY实际是两对密钥）等；简单加密机制通常可以直接在js中找到硬编码的key（对称,利用burp插件就可以直接完成自动化加解密）
    2.1. 对称加密：aes/des/3des/国密（如常见sm4）-》传输
    全部参数名：仅对某个值加密或全报文
    2.2. 非对称密钥：RSA/国密（常见sm2）-》传输
    全部参数名：仅对某个值加密或全报文

签名机制分析定位

全局搜索保存签名的字段（通常包含sign）

  1. url参数签名+签名参数如：
parm=1&sign=md5(parm=1)
  1. 参数值签名+签名参数如：
pwd=a&name=b&sign=md5(a|b)
  1. 请求头如
    x-passwd:123
    x-timestamp:169
    x-sign:md5(123+169)

请求改造篇

基于RPC技术的自动化去加密测试。
本地替换js修改加密调用

在这里插入图片描述

在这里插入图片描述

前端拦截器里最后通过方法g()实现对参数处理的逻辑，但不是加密方法本身，其中实现了request method的判断和超时参数的添加（方法p）。
所以改造p方法来去掉加密的调用，使burp接收明文。
代码如下：

function p(e) {return JSON.stringify({data: Object(u["a"])({}, e),dataExpireTime: 1689999999999

//使用一个较大的固定时间戳而非实时生成，以绕过服务器的时间戳超时校验机制
})
}

验证码获取请求（GET）
在这里插入图片描述

请求（POST）

在这里插入图片描述

GET方法和POST方法经过处理后的流量在burp里已经是明文。

编写RPC客户端通讯脚本

首先定义RPC调用的加解密对象：
在这里插入图片描述

调试过程将加密对象设置为全局对象,第二个打印的变量是加密密钥（源码硬编码值）。
Q&A：
为什么是d?
因为调试的当前页面里指向加密对象的变量是d；
为什么不定义p方法或是d.encryptData方法？
因为如果全局变量指向p方法会导致其运行加密方法时找不到某些定义在加解密库js文件中的方法而报undefined异常（破坏了作用域链的顺序）；直接指向这个加密对象便于加解密时RPC使用同一个全局对象。

将RPC客户端加载到浏览器环境里，注入方法如油猴插件hook,本地覆盖到页面js和运行代码段等，建议在代码段里运行（实测注入到页面js中ws的通讯不稳定）
使用sekiro框架提供的服务端与客户端demo即可，并按实际情况修改通讯代码

//省略未变动的代码，将在参考链接中给出
var client = new SekiroClient("ws://127.0.0.1:5612/business-demo/register?group=rpc-test&clientId="+guid());client.registerAction("enc",function(request, resolve, reject){resolve(secApp.encryptData(request["params"],'04337449135FE6BD62D0683CE30AEA1BD178B879A392162D9F87A2FF0EC819A…'));
})

编写中间处理脚本

编写用于处理加密调用和密文流量转发的脚本mitm.py：

#rpc加密
def encrypt(params):# print("request params in enc func:::{}".format(params))api = "http://127.0.0.1:5612/business-demo/invoke?group=rpc-test&action=enc&jsonData={}".format(params)res = requests.get(api).json()# print("res:::{}:::{}".format(str(res),str(res['data'])) ) json()转换响应为json对象便于访问data字段return json.dumps({'data':res['data'],'responseCode':res['responseCode'],'responseDesc':res['responseDesc']})#修改请求
def request(flow):#获取请求方法，返回字符串：POST GETmethod = flow.request.methodif method == "GET":#获取查询参数# :MultiDictView[('{"data":{},"dataExpireTime":1689999999999}', '')]:::type is::: <class 'mitmproxy.coretypes.multidict.MultiDictView'># params = flow.request.query 目标对整个查询字串加密，query.get("param_name")针对参数加密的情况使用params = flow.request.url.split("?", 1)[1]elif method == "POST":#获取请求bodyparams = flow.request.textelse:params = None# print("request params:::{}:::type is:::{}".format(params,type(params)))encryptedData = encrypt(params)print("encData:::{}".format(encryptedData) )if method == "GET":flow.request.url = flow.request.url.split("?",1)[0]+ "?" + encryptedData# print("request url:::{}".format(flow.request.url))elif method == "POST":flow.request.text = encryptedData

Tips：这里可以利用burp的repeater模块进行脚本的测试，不必在浏览器里操作站点功能。

响应改造

同理对系统解密的流程分析并编写相关的脚本。
在这里插入图片描述

如果请求未通过，服务器将响应200以外的代码，此时拦截器进入reject部分，该部分的处理是没有解密过程的，响应包也可看到是明文形式的，因此编写中间脚本时需要判断返回码以决定是否进入RPC解密的调用。
一般情况使用GET方法便于浏览器API调用，但受限于URL长度，当对响应解密时，响应过长会导致GET方法无法正常请求，因此API调用改换POST方式。

#RPC解密
def decrypt(params):api = "http://127.0.0.1:5612/business-demo/invoke"jsonObj = {"group": "rpc-test","action": "dec","param": str(params)}res = requests.post(api, json=jsonObj).json()print("res:::{}:::".format(str(res['data'])) )return json.dumps(res['data'])#修改响应
def response(flow):body = flow.response.content.decode('utf-8')print("response body:::{}".format(body))#判断响应是否为密文if flow.response.status_code == 200:decryptedBody = decrypt(body)flow.response.text = decryptedBody

重写本地JS时对方法f改造，即“直接调用解密方法“的方法。
在这里插入图片描述

function f(e) {return e
}

RPC client加上解密的action:

client.registerAction("dec", function(request, resolve, reject){resolve(secApp.decryptDataOneWay(request["param"], 'DA7668FAx7'));
});

开启RPC(先服务端、再客户端)和mitmdump
在这里插入图片描述

(图示上窗运行RPC server,下窗运行mitmdump)
在这里插入图片描述
（运行RPC client）

burp进行测试中的流量：
在这里插入图片描述

原本加密的响应数据已呈明文。

通讯图示

红色箭头发起第一个请求，RPC Server和RPC Clinet之间通过websocket通讯，mitmdump和RPC Server间通过http通讯（API）,其余箭头都是代理流量转发的过程。
在这里插入图片描述

注： 可以联动自动化工具，把流量用脚本加密代理出去。

参考文档

mitmproxy
https://docs.mitmproxy.org/stable/api/mitmproxy/http.html#Request
sekiroAPI:
https://sekiro.iinti.cn/sekiro-doc/01_user_manual/3.restful_api.html#get%E5%92%8Cpost
sekiro客户端：
https://sekiro.virjar.com/sekiro-doc/assets/sekiro_web_client.js
完整通讯代码：

function guid() {function S4() {return (((1 + Math.random()) * 0x10000) | 0).toString(16).substring(1);}return (S4() + S4() + "-" + S4() + "-" + S4() + "-" + S4() + "-" + S4() + S4() + S4());
}var client = new SekiroClient("ws://127.0.0.1:5612/business-demo/register?group=rpc-test&clientId=" + guid());// var secApp = new microAppSafety;client.registerAction("enc", function (request, resolve, reject) {resolve(secApp.encryptData(request["param"],enckey));})client.registerAction("dec", function (request, resolve, reject) {resolve(secApp.decryptDataOneWay(request["param"],deckey));})//站点请求一次后在控制台中执行window.secApp = new microAppSafety;注册全局对象

续：脚本优化

import json
import requests
import urllib.parsejava_server = 'http://127.0.0.1:5612/business-demo/invoke'# RPC
def rpc(action, params, group='rpc-test'):url = java_serverdata = {'group': group,'action': action,'param': params}count = 0  # 计数器while 1:count += 1if count > 10:# TODO:处理超时逻辑breakres = requests.post(url, data=data).json()if 'data' in res:return resreturn ''# 解密
def decrypt(params: str):res = rpc('dec', params)print("dec:::res:::{}:::".format(str(res)))return json.dumps({'data': res['data'], 'responseCode': res['responseCode'], 'responseDesc': res['responseDesc']})# 加密
def encrypt(params: str):res = rpc('enc', params)return res['data']# 修改请求
def request(flow):method = flow.request.methodif method == "GET":flow.request.url = flow.request.url.split("?", 1)[0] + "?" + encrypt(urllib.parse.unquote(flow.request.url.split("?", 1)[1]))print('GET')elif method == "POST":flow.request.text = encrypt(flow.request.text)# 修改响应
def response(flow):body = flow.response.content.decode('utf-8')if flow.response.status_code == 200:flow.response.text = decrypt(body)

埋坑（框架bug）:

  1. 实际操作时会出现RPC handler undefined异常，暂未探究具体原因，个人解决方法是在中间脚本里轮询RPC，判断是否正常调用：
count = 0
while 1:count += 1res = requests.post(api, json=jsonObj).json()print(count)if 'data' in res:break
  1. 解密RPC的响应长这样：
    {‘clientId’: ‘5af6b925-aa77-7184-dae5-1bfe289b7b21’, ‘data’: {‘verifyCode’: ‘/9w/UUAf/9k=’, ‘verifyId’: ‘654054282479276032’}, ‘responseCode’: ‘success’, ‘responseDesc’: ‘success’, ‘status’: 0}
    这就导致起初直接拿data无法正常进入前端逻辑（序列化结果与原字串存在差异，嵌套json被提出来了），因此中间脚本返回时需要加上后面两个字段：‘responseCode’和’responseDesc’。（进分析是由于客户端处理时的偏差，没有把响应的数据正确的全部作为data属性的值，可以修改客户端代码，这里处理方法是把加解密的结果b64打包了一下）

古早文档，代码部分已全量改进，先不放了，没时间改了，马上要去看电影了

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/58613.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【JAVA】有关时间的操作在编程中如何实现？

【JAVA】有关时间的操作在编程中如何实现？

个人主页&#xff1a;【&#x1f60a;个人主页】 系列专栏&#xff1a;【❤️初识JAVA】 文章目录 前言Date 类Date 类方法Data的缺陷实例获取当前日期时间日期比较java中设置date数据的显示格式 前言 在许多应用程序中&#xff0c;日期和时间的处理是必不可少的。Java提供了一…
阅读更多...
第8集丨Vue 江湖 —— 列表渲染

第8集丨Vue 江湖 —— 列表渲染

目录 一、v-for指令1.1 遍历数组1.2 遍历对象1.3 遍历字符串1.4 遍历指定次数1.5 案例整合 二、key的作用与原理2.1 虚拟DOM中key的作用2.2 新旧虚拟DOM对比规则2.3 用index作为key可能会引发的问题2.3.1 错误案例2.3.2 错误效果2.3.3 错乱原理图 2.4 开发中如何选择key? 三、…
阅读更多...
Windows下安装Sqoop

Windows下安装Sqoop

Windows下安装Sqoop 一、Sqoop简介二、Sqoop安装2.1、Sqoop官网下载2.2、Sqoop网盘下载2.3、Sqoop安装&#xff08;以version&#xff1a;1.4.7为例&#xff09;2.3.1、解压安装包到 D:\bigdata\sqoop\1.4.7 目录2.3.2、新增环境变量 SQOOP_HOME2.3.3、环境变量 Path 添加 %SQO…
阅读更多...
【C++进阶】：异常

【C++进阶】：异常

异常 一.异常的概念二.基本使用三.异常重新抛出四.异常规范五.异常安全六.异常的优缺点 一.异常的概念 c语言 传统的错误处理机制&#xff1a; 1. 终止程序&#xff0c;如assert&#xff0c;缺陷&#xff1a;用户难以接受。如发生内存错误&#xff0c;除0错误时就会终止程序。…
阅读更多...
Openlayers实战：使几何图形适配窗口

Openlayers实战：使几何图形适配窗口

Openlayers开发的项目中，有一种应用非常重要，就是绘制或者显示出几何图形后，让几何图形居中并适配到窗口下，这样能让用户很好的聚焦到所要看的内容中去。 这里使用了fit的这个view 的方法，具体的操作请参考示例源代码。 效果图 源代码 /* * @Author: 大剑师兰特（xiaozh…
阅读更多...
.NET 应用程序 部署

.NET 应用程序 部署

**硬件支持型号 点击 查看 硬件支持 详情** DTU701 产品详情 DTU702 产品详情 DTU801 产品详情 DTU802 产品详情 DTU902 产品详情 G5501 产品详情 本文内容 在设备上部署 dotnet应用&#xff0c;与任何其他平台的部署相同&#xff0c;可以2种方式&#xff1a; 依赖于框…
阅读更多...
Android 项目导入高德SDK初次上手

Android 项目导入高德SDK初次上手

文章目录 一、前置知识&#xff1a;二、学习目标三、学习资料四、操作过程1、创建空项目2、高德 SDK 环境接入2.1 获取高德 key2.2下载 SDK 并导入2.2.1、下载SDK 文件2.2.2、SDK 导入项目2.2.3、清单文件配置2.2.4、隐私权限 3、显示地图 一、前置知识&#xff1a; 1、Java 基…
阅读更多...
24届近5年东华大学自动化考研院校分析

24届近5年东华大学自动化考研院校分析

今天给大家带来的是东华大学控制考研分析 满满干货&#xff5e;还不快快点赞收藏 一、东华大学 学校简介 东华大学&#xff08;Donghua University&#xff09;&#xff0c;地处上海市&#xff0c;是教育部直属全国重点大学&#xff0c;国家“双一流”、“211工程”建设高校…
阅读更多...
亿欧智库：2023中国宠物行业新趋势洞察报告（附下载）

亿欧智库：2023中国宠物行业新趋势洞察报告（附下载）

关于报告的所有内容&#xff0c;公众【营销人星球】获取下载查看 核心观点 户外赛道本质上迎合了全球共性需求的增长&#xff0c;从养宠意愿的转化到养宠生活的需求&#xff0c;多层次的需求推动行业发展新趋势 从需求端进行分析&#xff0c;可以将养宠意愿的转化分为三个层…
阅读更多...
基于gpt4all的企业内部知识问答服务应用搭建

基于gpt4all的企业内部知识问答服务应用搭建

文章目录 痛点项目缘起技术选型fine-tuningfew shot prompt engineering选定方案的特征描述 模型赛马gpt4all调优部署时踩坑python3.9 header缺失 -- 安装下缺失的就行运行时参数调优 代码分析项目代码库代码 效果展示例子1例子2 附录&#xff1a;所用的公司内部API文档例子&am…
阅读更多...
2、简单上手+el挂载点+v-xx(v-text、v-html、v-on、v-show、v-if、v-bind、v-for)

2、简单上手+el挂载点+v-xx(v-text、v-html、v-on、v-show、v-if、v-bind、v-for)

官网&#xff1a; vue3&#xff1a;https://cn.vuejs.org/ vue2&#xff1a;https://v2.cn.vuejs.org/v2/guide/ 简单上手&#xff1a; 流程&#xff1a; 导入开发版本的Vue.js <!--开发环境版本&#xff0c;包含了有帮助的命令行警告--> <script src"https…
阅读更多...
Qt+C++实现灯带动画运动位置变换移动跑马灯图片轮播

Qt+C++实现灯带动画运动位置变换移动跑马灯图片轮播

程序示例精选 QtC实现灯带动画运动位置变换移动跑马灯图片轮播 如需安装运行环境或远程调试&#xff0c;见文章底部个人QQ名片&#xff0c;由专业技术人员远程协助&#xff01; 前言 这篇博客针对<<QtC实现灯带动画运动位置变换移动跑马灯图片轮播>>编写代码&…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023