SpiderDemo第五题-柳暗花明又一墙

T5 柳暗花明又一墙

一：抓包

F12查看请求，发现直接被断住，有无数个debugger

本文直接使用本地替换的办法，直接将所有的debugger删除，删除后可以看到debugger已经过了，但是会提示检测到反调试

可以看到是检测debugger，直接将!_first50_check["includes"]("deb")修改为恒为false，不执行报错操作

页面正常显示同时也看到了加密参数signature

二：加密参数分析

ob1_challenge.js搜索signature，可以看到实际const signature = O0o0O0O0()

调用也正常

三：扣代码

直接扣出并调用，发现报错

结合网站能找到实际的函数

直接从var encode_arr全部扣下

如下结构

补上对应的缺少的环境

如果出现atob和btoa的报错，分别改成

1 2	Buffer.from(str, 'base64').toString('ascii') Buffer.from(str, 'binary').toString('base64')

调用成功。

真的成功了吗？请求请求接口报错，显示签名验证失败，第一页成功的原因是没有检查，请求url为init

4、错误分析-补环境

遇到此种情况一般就是使用补环境的方式来解决了（浏览器生成的能行，python生成的不行）

加上环境检测代码

//观察框架
!(function () {
  var console_log = console.log
  watch = function (obj, name) {
    return new Proxy(obj, {
      get(target, p, receiver) {
        // 过滤没用的信息，不进行打印
        if (name !== 'contentWindow' && p === "Math" || p === "JSON" || p === "RegExp" || p === "atob" || p === "parseInt" || p === "String" || p === "Symbol" || p === "Proxy" || p === "Promise" || p === "Array" || p === "isNaN" || p === "encodeURI" || p === "Uint8Array" || p.toString().indexOf("Symbol(Symbol.") != -1 || p.toString().indexOf("Symbol(nodejs") != -1) {
          var val = Reflect.get(...arguments);
          return val
        }
        else {
          var val = Reflect.get(...arguments);
          if (typeof val === 'function') {
            console_log(`取值: ${name}.${p} => function`);
          } else {
            console_log(`取值: ${name}.${p} => ${val}`);
          }
          return val
        }
      },
      set(target, p, value, receiver) {
        var val = Reflect.set(...arguments)
        if (typeof value === 'function') {
          console_log(`设置值: ${name}.${p} => function`,);
        } else {
          console_log(`设置值: ${name}.${p} => ${value}`);
        }
        return val
      },
      has(target, key) {
        // 在检查属性存在性时输出一条消息
        console_log(`检查属性存在性: ${name}.${key.toString()}`);
        return key in target;
      },
      ownKeys(target) {
        console_log(`获取自有属性:${name}`)
        if (name === 'contentWindow_navigator') {
          return watch([], 'contentWindow_navigator自有属性')
        }
        return Reflect.ownKeys(target)
      }
    })
  }
})();

// 补环境框架
function getEnvs(proxyObjs) {
    for (let i = 0; i < proxyObjs.length; i++) {
        const handler = '{\n' +
            '    get: function(target, property, receiver) {\n' +
            '        console.log("方法:", "get  ", "对象:", ' +
            '"' + proxyObjs[i] + '" ,' +
            '"  属性:", property, ' +
            '"  属性类型:", ' + 'typeof property, ' +
            // '"  属性值:", ' + 'target[property], ' +
            '"  属性值类型:", typeof target[property]);\n' +
            // 'if (typeof target[property] == "undefined"){debugger}' +
            '        return target[property];\n' +
            '    },\n' +
            '    set: function(target, property, value, receiver) {\n' +
            '        console.log("方法:", "set  ", "对象:", ' +
            '"' + proxyObjs[i] + '" ,' +
            '"  属性:", property, ' +
            '"  属性类型:", ' + 'typeof property, ' +
            // '"  属性值:", ' + 'target[property], ' +
            '"  属性值类型:", typeof target[property]);\n' +
            '        return Reflect.set(...arguments);\n' +
            '    }\n' +
            '}';
        eval(`try {
            ${proxyObjs[i]};
            ${proxyObjs[i]} = new Proxy(${proxyObjs[i]}, ${handler});
        } catch (e) {
            ${proxyObjs[i]} = {};
            ${proxyObjs[i]} = new Proxy(${proxyObjs[i]}, ${handler});
        }`);
    }
}

proxyObjs = ['window', 'location', 'document', 'navigator', 'history', 'screen', 'localStorage']
getEnvs(proxyObjs);

加上后执行直接返回false

删除掉document后执行又成功了

应该是检测了document，直接全局搜索document

可以看到当前的位置比较可疑，直接本地和浏览器对比

浏览器执行的值为false

本地执行值为true

直接注释掉再次执行，能拿到值

接下来就是补环境，搜索哪些是未定义的

能看到是document的createElement，一点一点补，最后的补完是这样的

document = {
    createElement: function (args){
        console.log("调用了createElement--->", args)
        if (args === "canvas"){
            return watch({
                getContext: function (name){
                    console.log("调用了getContext", name)
                    if (name === "2d"){
                        if (this.canvas_name === '' || this.canvas_name === '2d') {
                            return watch({
                                fillRect: function (){},
                                fillText: function (){}
                            }, '2d')
                        }
                    }
                },
                canvas_name: ''
            }, 'canvas')
        }
    }
}