前端JS接口加密攻防实操

前端JS接口加密攻防实操

背景

在爬虫过程中,对数据接口各类加密的经历总结,无头消耗资源效率不高,采用浏览器兜底解密+协程并行

青铜版(混淆+对称加密|签名nonce等)

解:根据API 调用栈,断点找到request参数前后逻辑,拿到密钥仿写

白银版(debug限制devtools+加密js二次混淆加密)

解:debug解决方式

针对指定的路径进行断点,修改响应文件

二次混淆加密:1.总有调用栈,通过devtools->console试验找到的方法调用是否成功有效,并单独放到html中测试执行

铂金版

  • 封闭js无调用栈(例如:js文件通过js加密网每10s生成密钥并混淆放入localstorge,key命名可能并不是明显的密钥,难以察觉,而js文件难以直接查找到密钥,可以采用:1,devtools全局检索 2,将js文件放入graalvm/Selenium/PhantomJS中执行,执行结果返回给外部

    graalvm

钻石版

js加密防护

  • js使用navigator这个浏览器系统变量可以判断navigator.webdriver是否被自动化测试驱动(由于大部分自动化测试都会有隐藏全局字段,例如:Selenium存在很多隐藏全局字段,所以js可以判断是否被无头浏览器执行,不知道覆写哪些字段绕过)
  • js 可以调用浏览器特有的冷门字段作为加密盐,同时将某些字段混入,方便后端日志分析账户查封等
  • 单独一个不起眼的js文件(混水摸鱼),并保持封闭,每次不同的冷门请求头混入签名中,不定期服务器上更新该js,同时不要返回响应提示

js解密

  • 针对上面的navigator相关,可先执行js,并代理navigator的调用,监听看加密中调用了哪些方法,并针对性进行覆写

    其他冷门字段加密的方式费时间,只能直接拿js执行查看使用字段按上面思路排查

想到再补充AI FACE破解相关

相关推荐
y东施效颦6 分钟前
uni-app页面发布测试环境出现连接服务器超时,点击屏幕重试解决方案
前端·javascript·vue.js·uni-app·vue
大熊程序猿9 分钟前
《开篇:课程目录》
前端·c#
秋田君21 分钟前
深入理解JavaScript设计模式之单例模式
javascript·单例模式·设计模式
毒果31 分钟前
网络安全全景解析
安全·web安全
摸鱼仙人~1 小时前
React中子传父组件通信操作指南
前端·javascript·react.js
程序员阿超的博客1 小时前
React事件处理:如何给按钮绑定onClick点击事件?
前端·javascript·react.js
云盾安全防护1 小时前
CC攻击与WAF的对抗战
网络·安全·ddos
前端小咸鱼一条1 小时前
Vue中渲染函数的使用
javascript·vue.js·ecmascript
沉香亭北1 小时前
vue+vite 全局主题
前端
郑州小张1 小时前
前端解析PDF文件目录以及点击目录实现对应内容预览
前端·javascript