程序员经验分享-hwhale

某宝sign参数逆向分析

2023-11-04
说明

​ 淘宝ajax获取数据的方式为jsonp请求，所以在chrome中使用xhr拦截请求中加密参数的方式拦截不到

解决办法

​ 目前我使用的方法是 添加DOM断点的方法去监听页面元素的变化，同时使用charles去监听页面发送的请求，后面就是一步一步去调试，具体走到哪一步发送的请求，再进一步去调试，最终找到具体的加密位置

调试步骤

  1. DOM元素打上断点鼠标移动到 发送请求的DOM元素位置，通过charles请求加上过滤条件，发现现在还没有监听到页面发送的jsonp请求，所以按F10继续往下走，同时继续查看charles（适当的时候加上断点，快速跳出循环，一次走多步）
    在这里插入图片描述
    在这里插入图片描述

  2. 调试到这一步骤，在charles发现发送的获取数据的请求，然后我们就在调用栈中寻找可疑的步骤，每次用鼠标放到可疑的参数上面，查看参数的值，可以看到a这个参数里面就存在了sign这个值，说明在这个位置就已经生成了参数，继续往上找
    在这里插入图片描述
    在这里插入图片描述

  3. 在这个位置应该有点东西，打上断点，并把DOM的断点取消，看看情况

在这里插入图片描述
在这里插入图片描述

  1. 在这个位置发现参数还没有生成，可以继续往下走了
    在这里插入图片描述

  2. 到这个位置要进到函数里面看看是否存在有价值的东西（发现没有，继续往下找）

在这里插入图片描述
在这里插入图片描述

  1. 最后又走到了，这一步，有个this，并且a已经有值了，说明这个this的sign参数就是在外面的大函数中生成的，试一试在这个文件中搜一下sign参数，然后就发现了sign参数

在这里插入图片描述
在这里插入图片描述

  1. 在这个位置打上断点

在这里插入图片描述

  1. 之后就知道j的值就是这个sign参数 可以进到h函数里面具体查看生成的方法

在这里插入图片描述

  1. 把这个h函数整体拿出来就可以了，之后加上参数测试一波（坑：h函数里面的a参数里面是要带斜杠的 例如bb1b48c58fa0d230aed2f0dc5ef8d451&1611226626563&12574478&{"bizType":"pccategory","requestMap":"{\"catNameId\":3}"}）不然和页面的不一致，其实就是使用md5加密的参数
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

javascript

某宝sign参数逆向分析 的相关文章

随机推荐

  • uni-app开发微信小程序,checkbox、radio等原生组件样式设置问题解决方案

    它们是原生的组件 修改样式只能在app vue里面修改 目前只知道这一种解决办法 如果你的UI给的图比较特殊 用css写比较困难 推荐使用图片代替 请看下面示例 正确设置 在App vue文件里设置 test vue文件 这里假设你使用ch

  • 【SQL】记住，永远不要在MySQL中使用“utf8”

    文章目录 缘由 那么什么是编码 什么是 UTF 8 MySQL 简史 为什么这件事情会让人如此抓狂 总结 缘由 最近我遇到了一个 bug 我试着通过 Rails 在以 utf8 编码的 MariaDB 中保存一个 UTF 8 字符串 然后出

  • unity应用实例——从头撸一个全新的FPS游戏（1）

    从今天开始打算从头开始搞一个全新的FPS游戏 引擎使用的是unity2017 所有美术资源都计划从商店购买或是网上下载 自己实在搞不来 主要玩法是玩家需要穿越多个地图到达目的地 每个地图类似于一个地牢 规定时间到地牢的门才会打开 在这之前玩

  • ios-常见的命令行工具

    pwd 查看当前目录 cat 在命令行中查看文件 ls 查看文件 ls l 就是以列表的形式展开 touch 创建文件 open 打开文件 more 分页查看文件内容 f是下一页 b是上一页 当你命令行有很多东西你写错了的时候不想去一一删除

  • 视频转为GIF上传

    下载地址 https en softonic com download licecap windows post download 这里是没有直接上传视频的入口的 但是有上传gif png等图片格式的入口 这里我们需要将上传的gif通过本地

  • 键盘数字测试软件,KeyboardTest(键盘测试工具)官方版

    KeyboardTest 键盘测试工具 简介KeyboardTest 键盘测试工具 是可以放心付诸时间的系统软件软件 下载尝试过这款KeyboardTest 键盘测试工具 2021 05 12 这款软件免费吗 好像这一类软件都有个自带广告

  • linux下各文件夹的结构说明及作用

    根目录下的文件夹 1 bin 目录 bin 目录包含了引导启动所需的命令或普通用户可能用的命令 可能在引导启动后 这些命令都是二进制文件的可执行程序 bin 是 binary 的简称 多是系统中重要的系统文件 2 boot 目录 boot

  • 4. Python的流程控制

    Hi 大家好 我是茶桁 在前面几节课的基础之上 我们今天开始尝试在Python中控制流程 这中间 让我们来做一些实际的练习 Python语句的分类 让我们先了解一下Python语句的分类 在Python中 可分为单行代码和代码块 组 顾名思

  • 激活函数（4）tanh函数

    tanh函数 双曲正切激活函数 函数解析式 tanh函数及其导数的几何图像如下图 tanh读作Hyperbolic Tangent 它解决了Sigmoid函数的不是zero centered输出问题 然而 梯度消失 gradient van

  • html 替换多选框和单选框默认的按钮

    div class 113 div

  • 如何学习html？

    怎么学习html 本文为html初学者介绍一些高效率的html学习办法 以及推荐一些不错的HTML学习资源给我们 希望能帮助到我们 怎么学习html html即超文本标记语言 现在大部分网页都是html格式 html代码也是一切编程语言中学

  • vim后，/要搜索字段，n（查找）

    vim后 要搜索字段 回车 n 查找

  • 测试测试测试

    目录 标题 标题 测试

  • Mysql索引

    1 什么是索引 索引是帮助MySQL高效获取数据的数据结构 2 索引的分类 单列索引 1 普通索引 mysql中的普通索引 允许插入重复值和null值 没有什么限制 纯粹为了查询快一点 2 唯一索引 索引中的列必须是唯一的 可以为null值

  • oracle 不带时分秒,关于Oracle数据库不带日期中时分秒的查询

    关于Oralce数据库 的日期时间查询 下面我们先来看一组日期数据 表 myDate 列 time 1998 8 7 23 45 33 3 1998 8 7 11 22 21 5 1998 8 7 00 00 00 0 上面列出的这组日期数

  • 50-00-010-配置-kylin-2.6.0官网配置

    文章目录 1 视界 1 Kylin 配置 2 配置文件及参数重写 3 Kylin 配置文件 配置重写 项目级别配置重写 Cube 级别配置重写 MapReduce 任务配置重写 Hive 任务配置重写 Spark 任务配置重写 部署配置 部

  • linux下部分文件管理类基本命令汇总以及bash展开特性介绍

    一 文件管理类基本命令 1 1 表格汇总 今天要讲解的命令如下表所示 按照外部命令和内建命令做基本划分 内建命令列表 命令名字 基本说明 file 检测文件类型 cd 改变shell的工作目录 dirs 显示目录堆栈信息 popd 从堆栈中

  • macOS_Monterey_12.6_21G115可引导可虚拟机安装的纯净版苹果OS系统ISO镜像安装包免费下载

    现在网络上黑果系统出现了许多多合一的多功能版 不是说这些版本不好 只是小编个人觉得 操作系统就是用来使用的 黑果本来就是服务于一些非苹果机的苹果OS爱好者的 简洁稳定应该是首选 固小编毅然放弃那些多功能的豪华版镜像版 独宠我的纯净可引导安装

  • pyqt5重温入门教程：用Qt Designer设计UI

    程序员今晚不回家 抖音号 在开始教程之前 先简单地水几句 之前使用过pyqt5 但是好久没用了 现在因为有一个项目需要 所以在此重温一下 当然教程就不是像零基础那样手把手从安装开始了 这里简洁明了 直接上手操作 第一步 打开Designer

  • 某宝sign参数逆向分析

    说明 淘宝ajax获取数据的方式为jsonp请求 所以在chrome中使用xhr拦截请求中加密参数的方式拦截不到 解决办法 目前我使用的方法是 添加DOM断点的方法去监听页面元素的变化 同时使用charles去监听页面发送的请求 后面就是一

热门标签