-
抖音__ac_signature参数逆向与脚本开发
前篇文章《抖音a_bogus参数逆向，从抓包到Python刷播放量脚本全记录》我们讲解了抖音a_bogus参数的逆向过程。这篇接着来讲抖音的另一个加密参数__ac_signature。 参数分析：为什么要搞定_signature 以视频播放量+1这个接口为例，要动态生成临时身份cookie（即 ttwid），需要先拿到 __ac_nonce，然后用它生成 __ac_s…... -
灵狐卡密商城系统详解：一款轻量级的PHP开源卡密销售与软件授权管理系统
灵狐卡密商城系统是一套专注于数字商品销售与自动化交付的轻量级商城系统，适用于卡密/激活码在线零售、软件授权分发、数字虚拟商品自动交易等场景。 系统采用 PHP + ThinkPHP 开发，支付成功即可自动发货，无需人工干预。 前台展示 图1：系统首页展示 后台展示 图2：后台管理界面 两大核心板块 板块一：卡密商城 这是系统的核心业务模块，主要功能包括： 1. 商品管理 支持商…... -
网页反调试debugger绕过方案：条件断点替换（最快）、油猴脚本Hook（一劳永逸）
今天在网页抓包的时候碰到了反调试debugger代码，打开浏览器的开发者工具就会直接触发debugger反调试断点，网页就会卡在这里，无法请求接口数据，页面也无法正常加载。 针对这个问题，我们来详细说一下如何进行绕过处理，方便以后你们遇到这种问题时知道怎么解决。 1. 问题现象：打开F12就卡死 图1：打开开发者工具后触发的debugger断点 2. 定位问题：查看调用堆栈 我在网页上打开了开发者…... -
抖音a_bogus参数逆向 从抓包到Python刷播放量脚本全记录
抓包分析了一下抖音的接口，发现使用的也是头条系的a_bogus参数加密。 对于这个参数，我们之前在《番茄小说a_bogus参数逆向实战与bdms.js算法还原》和《今日头条a_bogus参数逆向分析与算法还原》中都有接触过，也算是不陌生了。但是抖音是头条系的核心产品，相比之前提到的两个产品，难度要略微复杂一些。 1. 抓包分析：锁定视频推荐接口 既然都是一个公司的产品，根据我们以往的逆向经验，加密…... -
百度贴吧sign参数逆向分析与本地验证
之前写好的某吧发帖脚本突然全部失效。排查后发现，某吧进行了一次大更新，接口新增了一个 sign 参数。这章我们就针对 sign 这个参数进行百度贴吧 sign 参数逆向分析，彻底解决脚本调用问题。 一、抓包定位 sign 参数 首先需要确定分析的切入点。按 F12 打开谷歌浏览器抓包工具，随便打开一个某吧点一下“最新”选项卡，可以发现抓包工具抓到了一个 /c/f/frs/page_pc&…... -
「JS压缩加密逆向」实战案例 – 彩票自动投注中的GZIP压缩与Base64编码分析
在开发彩票自动投注脚本中的一个关键技术发现。初始抓包数据显示请求主体包含大段不明字符串，初步判断可能采用某种加密算法。然而，经过系统的逆向工程分析，我们确认该数据并未使用任何加密技术，其本质是通过数据压缩配合Base64编码实现的标准化处理。本文将通过一个彩票脚本的案例，完整展示一次JS压缩加密逆向的典型流程，其核心关键在于精准判断数据处理的本质是‘加密’还是‘编码’。 1. 数据抓包：发现神秘字…... -
小红书X-S签名逆向解析（下篇）：x3参数逆向与浏览器环境补全
在《小红书X-S签名逆向解析（上篇）：突破自定义Base64与算法轮廓》中，我们完成了X-S参数的外层加密解析。但上篇文章存在一个关键问题——使用的x3参数为固定值，导致生成的X-S签名无法动态变化。本文将深入分析x3参数的生成逻辑，重点进行x3参数逆向分析，解决动态签名的核心问题。 一、定位分析起点 首先需要确定分析的切入点。打开小红薯页面，进入开发者工具，刷新页面后全局搜索XYS_"…... -
小红书X-S签名逆向解析（上篇）：突破自定义Base64与算法轮廓
今天的目标是小红书X-S签名逆向分析。由于小红书加密算法的加密逻辑相对复杂，我们将分两篇文章来详细讲解，本文主要聚焦于X-S参数的外层加密逻辑解析。 以小红书的 /api/sns/web/v1/comment/like 接口为例，这是给评论点赞的一个接口，其中请求头中就包含 X-S 参数，这就是我们此次的逆向目标。 1. 抓包分析：定位X-S参数位置 打开小…... -
好看视频hk_sign参数逆向实战全记录
这次的目标是好看视频hk_sign参数逆向。相比之前案例中相对直接的加密逻辑，某看视频的防护手段更为棘手：核心代码被深度混淆，并通过动态执行的方式运行，使得全局搜索和静态分析几乎失效。 面对这种通过动态调用调试和深度混淆构建的复杂环境，常规的逆向思路难以奏效。本文将分享如何运用高阶调试技巧，在这种“混沌”中精准定位加密核心，完整解析其输入参数拼接规则和MD5签名流程。 1. 抓包分析：锁定hk_s…... -
TLS指纹绕过实战：从原理到JA3指纹检测与破解
在完成《闲鱼sign参数加密分析与本地复现》并成功逆向无数JS加密签名后，我们遭遇了一堵新的”叹息之墙”：请求在抵达服务器处理任何业务逻辑之前就被拒绝。当我们发现/h5/mtop.taobao.idlehome.home.webpc.feed/1.0接口在浏览器中畅通无阻，却在Python和apiPost中彻底失效时，一个明确的信号出现了——反爬虫的战场已经从应用层转向了网络层。 TLS指纹绕过成…... -
番茄小说a_bogus参数逆向实战：bdms.js加密算法分析与还原
最近沉迷小说，更新有所放缓。恰逢书荒，想找几本好书，便打算写个爬虫程序，抓取某茄小说网站的各大排行榜数据。在数据抓包实战分析过程中，我发现请求参数里有两位”老朋友”——msToken和a_bogus。本文将完整呈现针对某茄小说的a_bogus参数逆向过程，重点分析加密逻辑的定位与还原技巧。 与《今日头条a_bogus参数逆向分析与算法还原》相比，本次某茄小说加密分析的调用链路更为隐蔽，需要通过特定…... -
闲鱼sign参数加密分析与本地复现
今天带你攻破闲鱼的签名加密，体验逆向工程的快感！当你看到自己成功在本地复现加密算法时，那种成就感绝对让你热血沸腾！ 1. 锁定目标：发现神秘的数字指纹 打开闲鱼首页，悠闲地向下滚动鼠标，眼睛紧盯着Network面板。突然，一个接口请求跳了出来： /h5/mtop.taobao.idlehome.home.webpc.feed/1.0 仔细一看，请求参数里藏着一个sign=daa538ea6b45d…... -
Chrome抓包工具完全掌握(3)：高手秘籍！用XHR断点拦截破解前端加密
在《抓包进阶技巧实战 – 过滤与搜索快速定位目标请求》中，我们学会了用过滤和搜索在海量请求中快速定位目标。但很多同学在实际操作中都会遇到一个更深的困境：明明在Network面板里清晰地看到了像a_bogus、signature这样的加密参数，可当你满怀信心地在源代码中搜索时，却一无所获！ 这种”看得见却摸不着”的无力感，正是逆向分析路上的第一道真正的门槛。当简单的搜索功能失效时，你该怎么办？ 别担…... -
Chrome抓包工具完全掌握(2)：抓包进阶技巧实战 – 过滤与搜索快速定位目标请求
在《零基础入门篇 – 3步搞定网页数据抓取，新手轻松上手！》里，我们学会了打开Chrome抓包工具，也能在简单的页面上抓到几个请求看看了。但很多同学兴冲冲地跑到一个真正的网站去一试，立马就傻眼了——这请求列表刷刷地跳，根本停不下来，想找的包连影子都看不到！ 别慌，这种感觉太正常了！今天这篇教程，就是你的”救星”。我们不讲空理论，就跟着我一起，在某头条的视频页面上，手把手、一步步地把那个藏着推荐视频…... -
Chrome抓包工具完全掌握(1)：零基础入门篇 – 3步搞定网页数据抓取，新手轻松上手！
很多小伙伴对”抓包”这个基础但至关重要的技能还是一知半解。因此，我决定为大家更新《Chrome浏览器抓包系列教程》，本系列将分为基础篇、过滤篇 和 控制篇三部分，手把手详细教大家如何掌握Chrome抓包工具。本文是基础篇，将专注于最核心的抓包操作。 0.补充：Chrome浏览器基础配置（国内用户必看） 为了确保教程的顺利进行，特别是对于国内网络环境下的用户，我们首先需要进行两项简单的浏览器配置。这…... -
深入百度贴吧发帖接口Acs-Token解密全过程
在前几期的JS逆向教程中，我们已经成功解决了某吧发帖接口/f/commit/post/add请求体中的三个关键加密参数：jt、mouse_pwd和_BSK。今天，我们将攻克最后一个堡垒——请求头中的Acs-Token参数。这个参数是某吧发帖接口的重要组成部分，掌握了它的生成方式，就能实现完整的自动化发帖功能。 1. 数据抓包：定位Acs-Token请求头 首先打开浏览器开发者工具（F12），在Ne…... -
百度贴吧mouse_pwd鼠标轨迹加密算法完整解析
在百度贴吧的发帖/回帖接口/f/commit/post/add中，除了我们《百度贴吧用户关注功能jt参数分析与解密》中分析过的jt参数和《贴吧发帖接口_BSK参数分析与解密》中分析过的_BSK参数外，mouse_pwd是请求体中的最后一个关键加密参数。这个参数记录了用户的鼠标行为轨迹，是某吧反爬机制的重要组成部分。掌握了它的生成方式，配合之前分析的参数，就能实现完整的API自动化发帖回帖功能。本章…...
-
￥优惠劵使用时效：无法使用使用时效：
之前
使用时效：永久有效优惠劵ID：×
最新评论