搜索

[16195] 2020-12-11_前端无秘密：看我如何策反JS为我所用（下）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-12-11_前端无秘密：看我如何策反JS为我所用（下） 前 端 无 秘 密 ： 看 我 如 何 策 反 J S 为 我 所 用 （ 下 ） y a n g y a n g w i t h g n u   F r e e B u f   2 0 2 0 - 1 2 - 1 1 近 日 ， 参 加 金 融 行 业 某 私 测 项 目 ， 随 意 选 择 某 个 业 务 办 理 ， 需 要 向 客 户 发 送 短 信 验 证 码 ： 响 应 报 文 中 包 含 大 段 加 密 数 据 ： 全 站 并 非 全 参 数 加 密 ， 加 密 必 可 疑 ！ 尝 试 篡 改 密 文 ， 页 面 提 示 “ 实 名 认 证 异 常 ” ： 猜 测 该 密 文 涉 及 用 户 信 息 ， 且 通 过 前 端   J S   解 密 ， 验 证 之 。 前 端 无 秘 密 ： 看 我 如 何 策 反   J S   为 我 所 用 （ 上 ） 武 器 化 利 用 武 器 化 利 用 分 析 清 楚 漏 洞 详 情 ， 接 下 来 一 定 是 将 手 工 利 用 转 变 为 自 动 攻 击 ， 实 现 武 器 化 ， 才 能 将 战 果 最 大 化 。 武 器 化 ， 我 有 两 个 选 择 ： 一 是 复 用 报 文 ， 对   P H O N E _ N O   参 数 加 载 手 机 号 码 字 典 ， 借 助   p y t h o n   的   r e q u e s t s   库 ， 访 问 / x x / a p i / x x x x / h 5 / x x / s C h k B l P h o n e   接 口 获 取   D a t a ， 调 用 前 面 已 实 现 的 解 密 脚 本 ， 批 量 获 取 用 户 信 息 ； 二 是 复 用 页 面 ， 驱 动   w e b d r i v e r ， 模 拟 人 工 操 作 ， 输 入 手 机 号 、 点 击 “ 获 取 验 证 码 ” 按 钮 、 抓 包 获 取   D a t a 、 解 密 脚 本 ， 批 量 获 取 用 户 信 息 。 粗 略 分 析 ， 前 者 运 行 高 效 、 后 者 实 现 简 单 。 选 择 一 还 是 二 呢 ？ ~ (   ´ • ︵ • `   ) ~ ， 我 都 要 ！ 2 . 1   复 用 报 文 方 式 复 用 报 文 方 式 我 计 划 基 于 已 有 原 始 请 求 ， 用 脚 本 不 断 填 写 新   P H O N E _ N O   参 数 后 提 交 ， 获 取 不 同 用 户 的 个 人 信 息 。 要 让 这 条 路 可 行 ， 必 须 具 备 两 个 前 提 ， 服 务 端 未 限 制 篡 改 参 数 、 服 务 端 未 限 制 重 放 请 求 。 2 . 1 . 1   防 篡 改 与 防 重 放 防 篡 改 与 防 重 放 我 在 页 面 上 输 入 手 机 号   1 3 9 8 8 8 8 8 8 4 0 ， 点 击 “ 获 取 验 证 码 ” 按 钮 ， 用   b u r p   的   p r o x y   抓 包 拦 截 请 求 （ 不 放 ） ， 将   P H O N E _ N O   参 数 值 改 为
1 3 9 8 8 8 8 8 8 4 9   后 放 行 ： 报 错 “ 参 数 签 名 异 常 ” ， 说 明 存 在 参 数 防 篡 改 的 限 制 。 刷 新 页 面 ， 我 重 新 在 页 面 上 输 入 手 机 号   1 3 9 8 8 8 8 8 8 4 0 ， 点 击 “ 获 取 验 证 码 ” 按 钮 ， 用   b u r p   的   p r o x y   抓 包 拦 截 请 求 （ 不 放 ） ， 将 该 请 求 转 至 b u r p   的   r e p e a t e r ， 对 报 文 不 作 任 何 修 改 ， 第 一 次 发 送 ， 响 应   2 0 0 ， 可 获 取   D a t a ， 第 二 次 ， 响 应   4 1 2 ， 无 法 获 取   D a t a ： 报 错 “ 条 件 不 达 标 ” （ P r e c o n d i t i o n   F a i l e d ） ， 说 明 存 在 请 求 防 重 放 的 限 制 。 服 务 端 是 如 何 晓 得 我 在 篡 改 参 数 、 重 放 请 求 呢 ？ 肯 定 离 不 开 客 户 端 的 配 合 。 于 是 ， 我 仔 细 审 查 请 求 报 文 中 的   h e a d e r s ， 首 部   a u t h o r i z a t i o n 引 起 了 我 的 注 意 ： 怀 疑 是   s i g n   在 作 祟 。 我 重 新 从 页 面 输 入   1 3 9 8 8 8 8 8 8 4 0 ， 点 击 “ 获 取 验 证 码 ” 按 钮 ， 抓 包 拦 截 请 求 ， 首 部   a u t h o r i z a t i o n   如 下 ： 这 次 不 对   P H O N E _ N O   参 数 值 作 任 何 变 更 ， 只 把   s i g n   最 末 尾 的 字 符 从   1   改 为   2 （ 即   4 0 c a 5 2 5 8 9 8 e b a 6 d f 8 8 b c a 4 5 1 3 4 2 5 1 5 c 2 ） ， 同 样 报 “ 参 数 签 名 异 常 ” 的 错 ： a u t h o r i z a t i o n :   o r i g i n = 2 | a p p k e y = 2 0 0 0 0 0 0 5 6 | t o k e n = n u l l | t s = 1 6 0 5 1 6 9 4 3 3 4 0 0 | n o n c e s t r = K 2 F Z p f b e | s i g n = 4 0 c a 5 2 5 8 9 8 e b a 6 d f 8 8 b c a 4 5 1 3 4 2 5 1 5 c 1
基 本 上 验 证 了 我 的 猜 测 ， 业 务 系 统 的 防 重 放 和 防 篡 改 能 力 依 赖   s i g n   参 数 。 我 得 想 法 绕 过 防 御 机 制 。 业 务 系 统 的 防 御 ， 我 大 致 了 解 （ 谁 还 没 点 在 蓝 队 背 景   < ( ▰ ˘ ◡ ˘ ▰ ) > ） 。 客 户 端 对 所 有 请 求 参 数 进 行 哈 希 计 算 ， 得 到 参 数 签 名 （ s i g n ） ， 将 签 名 放 入 首 部   a u t h o r i z a t i o n   中 提 交 至 服 务 端 ， 服 务 端 基 于 相 关 信 息 生 成 签 名 ， 与 客 户 端 提 交 的 签 名 进 行 比 较 ， 若 不 同 ， 说 明 参 数 被 篡 改 ， 则 不 响 应 该 请 求 ， 若 相 同 则 响 应 。 签 名 用 后 即 废 ， 若 重 复 ， 说 明 请 求 被 重 放 ， 则 不 响 应 该 请 求 ， 若 不 重 复 则 响 应 。 刺 探 出   s i g n   的 重 要 性 ， 只 要 我 能 控 制 随 意 生 成   s i g n ， 那 么 服 务 端 防 御 的 问 题 也 就 迎 刃 而 解 啦 。 2 . 1 . 2   分 析 参 数 签 名 逻 辑 分 析 参 数 签 名 逻 辑 虽 然 该 站 点 前 端 有 代 码 混 淆 、 反 调 试 等 保 护 措 施 ， 但 之 前 已 加 被 我 解 决 掉 ， 找 寻 并 提 取 实 现 签 名 逻 辑 的   J S   不 会 太 困 难 。 全 局 搜 索   s i g n   关 键 字 ， 找 到 多 个 匹 配 项 ， 只 有   1 8 7 5   行 是 生 成 首 部   a u t h o r i z a t i o n   的 值 的 逻 辑 ： 跳 至   1 8 7 5   行 ， 进 入 函 数   _ e ( )   内 部 ， 找 到 了 计 算 签 名 的 逻 辑 （ s ） ， 以 及 生 成   a u t h o r i z a t i o n   值 的 逻 辑 （ 函 数 返 回 值 ） ； 为 查 看   _ e ( )   的 调 用 实 参 ， 我 在 入 口 处 设 置 断 点 ， 为 查 看 生 成 的   a u t h o r i z a t i o n   值 ， 在 出 口 处 设 置 断 点 ：
再 回 到 页 面 上 输 入 手 机 号   1 3 9 8 8 8 8 8 8 4 0 ， 点 击 “ 获 取 验 证 码 ” 按 钮 ， 流 程 进 入 断 点 ， 了 解 传 递 实 参 的 信 息 ： 切 换 至   c o n s o l e   中 ， 参 照 调 用 方 式 ， 改 用 实 参   1 3 9 8 8 8 8 8 8 4 9   调 用   _ e ( ) ： 生 成 新 签 名 ： b u r p   开 启 拦 截 模 式 ， 放 行 前 端 断 点 ， b u r p   中 拦 截 到 参 数 值   1 3 9 8 8 8 8 8 8 4 0   及 其   a u t h o r i z a t i o n   值 的 请 求 报 文 ， 将 其 改 为   1 3 9 8 8 8 8 8 8 4 9   及 其 新 a u t h o r i z a t i o n   值 ： 服 务 端 正 常 响 应 ， 返 回   1 3 9 8 8 8 8 8 8 4 9   加 密 后 的 用 户 信 息   D a t a ： 现 在 ， 我 可 以 绕 过 参 数 签 名 机 制 ， 具 有 随 意 更 改 参 数 的 能 力 了 。 只 要 能 控 制 生 成 签 名 ， 绕 防 重 放 也 就 易 如 反 掌 ， 每 次 提 交 请 求 时 ， 我 同 步 生 成 新 签 名 即 可 。 为 方 便 生 成 参 数 签 名 ， 我 把   J S   的   _ e ( )   转 为   p y t h o n   脚 本   g e n _ a u t h o r i z a t i o n . p y ： _ e ( " P O S T " ,   " { " B O D Y " : { " P H O N E _ N O " : " 1 3 9 8 8 8 8 8 8 4 9 " , " G R O U P _ I D " : " 2 " , " R E G I O N _ I D " : " 1 1 " } } " )
整 理 下 ， 现 在 我 可 以 访 问   / x x / a p i / x x x x / h 5 / x x / s C h k B l P h o n e   接 口 获 取 加 密 后 的 用 户 信 息   D a t a ， 可 以 调 用   d e c r y p t _ d a t a _ b y _ n o d e j s . p y   解 密 D a t a ， 获 取 用 户 姓 名 、 单 位 地 址 、 家 庭 地 址 、 身 份 证 号 码 ， 拿 到 单 个 用 户 的 敏 感 信 息 三 要 素 ； 我 可 以 调 用   g e n _ a u t h o r i z a t i o n . p y   绕 过 防 重 放 和 防 篡 改 机 制 ， 批 量 获 取 多 个 用 户 的 敏 感 信 息 。 综 合 已 有 脚 本 编 写   e x p ， 实 现 武 器 化   g e t _ u s e r s _ i n f o _ b y _ r e q u e s t s . p y ： 长 按 下 方 二 维 码 或 点 击 底 部 【 阅 读 原 文 】 查 看 完 整 文 章 内 容 长 按 下 方 二 维 码 或 点 击 底 部 【 阅 读 原 文 】 查 看 完 整 文 章 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理