在现代 Web 安全风控、分布式数据采集以及流量合规审计中，越来越多的工程师发现：仅仅通过伪造 HTTP 请求头中的 User-Agent、Accept-Language 等字段，已经无法绕过 Cloudflare、Akamai 等主流 WAF（Web Application Firewall）的风控系统。
这是因为风控网关已将识别维度下沉到了传输层安全协议------TLS/SSL 握手特征识别 。其中，以 JA3 / JA4 算法 为代表的 TLS 指纹技术，能够精准识破底层使用的运行环境（如 Python urllib、requests、Golang 默认客户端等）。
本文将从 TLS 1.2/1.3 握手底层协议出发，深入剖析 JA3/JA4 指纹的提取原理，并使用原生 Python 实现一套针对客户端 TLS 特征的采集与指纹计算系统。
一、 TLS Client Hello 报文与 JA3 算法原理
在 TCP 三次握手完成后，客户端与服务端开始进行 TLS 协商，客户端首先发送的第一个报文即为 Client Hello。
1. 为什么 TLS 握手能作为"指纹"？
不同的操作系统、编程语言运行时或浏览器，其底层密码学库（如 OpenSSL、BoringSSL、NSS）所支持的加密套件、扩展项以及曲线算法各不相同，且它们在 Client Hello 中的排列顺序是相对固定的。
text
复制编辑 & 运行
[客户端发送 Client Hello] ├── TLS 协议版本 (Version) ├── 密码套件列表 (Cipher Suites) ──> 包含顺序！ ├── 扩展列表 (Extensions) ────────> 包含顺序！ ├── 支持的椭圆曲线 (Supported Groups) └── 曲线点格式 (EC Point Formats)
2. JA3 算法生成规范
Salesforce 安全研究员提出的 JA3 标准，通过提取客户端握手包中 5 个特定字段的值，用逗号连接后生成 MD5 哈希：
JA3_String=SSLVersion,Ciphers,Extensions,EllipticCurves,EllipticCurvePointFormatsJA3_String=SSLVersion,Ciphers,Extensions,EllipticCurves,EllipticCurvePointFormats
JA3_Fingerprint=MD5(JA3_String)JA3_Fingerprint=MD5(JA3_String)
例如，原生 Python requests 库（基于系统的 OpenSSL）生成的指纹往往是固定的某几个哈希值，WAF 网关无需解析 HTTP 内容，仅凭这串 MD5 即可判定"当前请求为自动化脚本"，从而直接返回 403 拦截或下发验证码。
二、 Python 原生实现：TLS 握手报文解析与 JA3 采集器
以下代码通过构建一个本地 TLS 抓取探针，完整还原从原始 TCP 字节流中解包 Client Hello 并提取 JA3 字符串的全过程：
python
复制编辑 & 运行
import socket import struct import hashlib import logging logging.basicConfig(level=logging.INFO, format="%(asctime)s [%(levelname)s] %(message)s") class JA3Extractor: """TLS Client Hello 协议解析与 JA3 指纹提取器""" @staticmethod def parse_client_hello(raw_bytes: bytes) -> str: """ 根据 RFC 5246 / RFC 8446 二进制规范解析握手数据 """ # 验证是否为 TLS Handshake 报文 (ContentType=0x16) if len(raw_bytes) < 5 or raw_bytes[0] != 0x16: raise ValueError("非标准 TLS 握手数据报文") # 跳过 Record Layer 头部 (5 字节) 与 Handshake 头部 (4 字节) offset = 5 handshake_type = raw_bytes[offset] if handshake_type != 0x01: # 0x01 代表 Client Hello raise ValueError("非 Client Hello 握手节点") offset += 4 # 跳过 Handshake Header client_version = struct.unpack("!H", raw_bytes[offset:offset+2])[0] offset += 2 # 跳过 Version # 跳过 32 字节 Client Random offset += 32 # 跳过 Session ID session_id_len = raw_bytes[offset] offset += 1 + session_id_len # 1. 提取 Cipher Suites cipher_len = struct.unpack("!H", raw_bytes[offset:offset+2])[0] offset += 2 ciphers = [] for i in range(0, cipher_len, 2): val = struct.unpack("!H", raw_bytes[offset+i:offset+i+2])[0] # 过滤 GREASE 占位值 (RFC 8701) if (val & 0x0F0F) != 0x0A0A: ciphers.append(str(val)) offset += cipher_len # 跳过 Compression Methods comp_len = raw_bytes[offset] offset += 1 + comp_len # 2. 提取 Extensions 与曲线参数 extensions = [] curves = [] ec_point_formats = [] if offset < len(raw_bytes): ext_total_len = struct.unpack("!H", raw_bytes[offset:offset+2])[0] offset += 2 end_offset = offset + ext_total_len while offset < end_offset: ext_type = struct.unpack("!H", raw_bytes[offset:offset+2])[0] ext_len = struct.unpack("!H", raw_bytes[offset+2:offset+4])[0] offset += 4 # 记录扩展项 (排除 GREASE) if (ext_type & 0x0F0F) != 0x0A0A: extensions.append(str(ext_type)) # 解析 Supported Groups / Elliptic Curves (0x000a) if ext_type == 0x000a: c_len = struct.unpack("!H", raw_bytes[offset:offset+2])[0] for j in range(2, c_len + 2, 2): c_val = struct.unpack("!H", raw_bytes[offset+j:offset+j+2])[0] if (c_val & 0x0F0F) != 0x0A0A: curves.append(str(c_val)) # 解析 EC Point Formats (0x000b) elif ext_type == 0x000b: p_len = raw_bytes[offset] for k in range(1, p_len + 1): ec_point_formats.append(str(raw_bytes[offset+k])) offset += ext_len # 3. 组装 JA3 原始文本规范 ja3_string = "-".join([ str(client_version), "-".join(ciphers), "-".join(extensions), "-".join(curves), "-".join(ec_point_formats) ]) return ja3_string @classmethod def calculate_hash(cls, raw_bytes: bytes) -> tuple: """计算 JA3 原始字符串与 MD5 摘要""" raw_str = cls.parse_client_hello(raw_bytes) md5_hash = hashlib.md5(raw_str.encode('ascii')).hexdigest() return raw_str, md5_hash def start_fingerprint_server(port: int = 8443): """启动本地探针服务，捕获客户端发起的首个 Client Hello""" server = socket.socket(socket.AF_INET, socket.SOCK_STREAM) server.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1) server.bind(("0.0.0.0", port)) server.listen(5) logging.info(f"[*] TLS 指纹探针已就绪，正在监听端口: {port}...") try: conn, addr = server.accept() logging.info(f"[+] 捕获到来自 {addr} 的网络链路") # 读取初始 TLS 握手报文 (Client Hello 长度通常在几百字节到 1KB) data = conn.recv(2048) ja3_str, ja3_hash = JA3Extractor.calculate_hash(data) print("\n================== TLS 指纹分析结果 ==================") print(f"[原始 JA3 描述符]:\n{ja3_str}") print(f"\n[JA3 Fingerprint (MD5)]: {ja3_hash}") print("=====================================================\n") conn.close() finally: server.close() if __name__ == '__main__': # 运行探针，可通过 curl https://127.0.0.1:8443 -k 测试 start_fingerprint_server(8443)
三、 工程防御与反指纹追踪对抗策略
面对基于 TLS 指纹的风控拦截，主流的工程应对方案通常包含以下维度：
- 采用定制化 TLS 传输层组件：
使用如curl_cffi、tls-client等基于 BoringSSL 的封装库，它们允许在上层自由定制Client Hello的扩展字段排列顺序及加密套件，模拟主流 Chrome / Safari 浏览器的真实握手特征。 - 下沉到 L4 会话中继：
对于需要高并发分发的网络节点，采用透明的会话层中继（如 RFC 1928 协议）。中继服务端仅负责双向流转发，不介入 TLS 握手层，从而彻底保留客户端最原生的指纹特性，避免网关层面的二次协议污染。
【技术参考】：本文基于 IETF RFC 5246/8446 与 Salesforce JA3 规范撰写，由博主 @jxys5 原创实战总结。