极验3代 加密分析

极验参数重要信息 gt和chahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lenge；gt是固定的，但是chahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lenge每次请求会产生不同的，这里的请求的并没有什么加密参数。

下一个请求 gettype.php，传递了 gt 参数的值以及 cahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lback，cahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lback 为 geetest_ + 时间戳；响应预览中返回了一些 js 文件及对应的版本号。

get.php?xxx,传入的参数如下：
gt：register-shttps://blog.csdn.net/zhp980121/article/details/lide 响应返回的 gt 值；
chahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lenge：register-shttps://blog.csdn.net/zhp980121/article/details/lide 响应返回的 chahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lenge 值；
w：对轨迹、滑动时间等进行加密后的参数，不存在轨迹直接置空
cahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lback：geetest_ + 时间戳。
响应数据好像也没啥，就是极验的帮助中心信息

点击按钮进行验证之后，Network 中抓包到了以下信息 ajax.php?xxx请求
gt：register-shttps://blog.csdn.net/zhp980121/article/details/lide 响应返回的 gt 值；
chahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lenge：register-shttps://blog.csdn.net/zhp980121/article/details/lide 响应返回的 chahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lenge 值；
w：对轨迹、滑动时间等进行加密后的参数， w 值也可以直接置空；
cahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lback：geetest_ + 时间戳。

响应返回验证码模式，滑块验证码为 shttps://blog.csdn.net/zhp980121/article/details/lide，点选验证码为 chttps://blog.csdn.net/zhp980121/article/details/lick

第二个 get.php?xxx，urhttps://blog.csdn.net/zhp980121/article/details/l 中传递了一些参数
gt：register-shttps://blog.csdn.net/zhp980121/article/details/lide 响应返回的 gt 值；
chahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lenge：register-shttps://blog.csdn.net/zhp980121/article/details/lide 响应返回的 chahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lenge 值；
cahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lback：geetest_ + 时间戳。
type:上个请求返回的验证码类型
重点响应参数：
bg：被打乱的带缺口背景图，需要还原
fuhttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lbg：被打乱的完整背景图，需要还原
shttps://blog.csdn.net/zhp980121/article/details/lice：滑块图片，不需要还原
c：关键参数，与后面 aa 参数的值有关，固定值；
s：关键参数，与后面 aa 参数的值有关。

接下来请求ajax.php?xxx
t：register-shttps://blog.csdn.net/zhp980121/article/details/lide 响应返回的 gt 值；
chahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lenge：register-shttps://blog.csdn.net/zhp980121/article/details/lide 响应返回的 chahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lenge 值 + 两位字符串，注意多了两位，是第二个 get.php?xxx 返回值中得到的；
w：对轨迹、滑动时间等进行加密后的参数，需要通过逆向得到；
cahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lback：geetest_ + 时间戳。

w 参数在 js 文件中有特征码，点击按钮进行验证之后，ctrhttps://blog.csdn.net/zhp980121/article/details/l + shift + f 全局搜索 “\u0077”，因为 \u0077 就是 w 的 Unicode 编码，然后点击进入 shttps://blog.csdn.net/zhp980121/article/details/lide.7.8.9.js 文件中，7.8.9 为当前版本。

进入后点击左下角 {} 大括号，格式化文件，再 ctrhttps://blog.csdn.net/zhp980121/article/details/l + f 局部搜索 “\u0077”，只有一个结果，在第 6086 行，在第 6088 行打下断点，滑动滑块即会断住，h + u 即为 w 参数的值

参数是 h 和 u 相加得到的，所以找到定义的位置，看看是怎么构造生成的

u参数
1. u 参数通过 r[$_CAIAt(754)] 方法生成，选中后跟进到方法定义位置

2. 进入函数在 6227 行 return 处打下断点，重新拖动滑块，即会断住

加密地方

e = new U()[$_CBGAZ(353)](this[$_CBGAZ(756)](!0));//还原e = new U()["encrypt"](this["$_CCEc"](!0));

参数https://blog.csdn.net/zhp980121/article/details/l

// 混淆https://blog.csdn.net/zhp980121/article/details/l = V[$_CAIAt(353)](gt[$_CAIAt(218)](o), r[$_CAIAt(756)]());// 未混淆https://blog.csdn.net/zhp980121/article/details/l = V["encrypt"](gt["stringify"](o), r["$_CCEc"]());

https://blog.csdn.net/zhp980121/article/details/l 参数的结果是将 gt.“stringify”(o)'和 r.“ C C E c " ( ) 加密后得到的，先来分析 r . " _CCEc"() 加密后得到的，先来分析 r." C​CEc"()加密后得到的，先来分析r."_CCEc”() , r"$_CCEc"()还是16位字符串。（记得得干rsa同一个值）

o = {    'https://blog.csdn.net/zhp980121/article/details/lang': i[$_CAIAt(116)] || $_CAHJd(103),    'userresponse': H(t, i[$_CAHJd(182)]),    'passtime': n,    'imghttps://blog.csdn.net/zhp980121/article/details/load': r[$_CAIAt(750)],    'aa': e,    'ep': r[$_CAHJd(714)]()};

o[$_CAIAt(791)] = X(i[$_CAIAt(104)] + i[$_CAIAt(182)][$_CAHJd(139)](0, 32) + o[$_CAHJd(704)]);o["rp"] = X(i['gt'] + i['chahttps://blog.csdn.net/zhp980121/article/details/lhttps://blog.csdn.net/zhp980121/article/details/lenge']['shttps://blog.csdn.net/zhp980121/article/details/lice'](0, 32) + o['passtime']);

经过验证X就是MD5，而且是没有魔改的

接下来每次请求会变的那个参数

接着往下找，第 6026 行 a = window[$_CAHJd(744)](s) 执行之后 s 中生成了以上的键值对，所以跟进到 window[$_CAHJd(744)] 中，会跳转到 gct.xxxxxxxx.js 文件中，这个文件的路径可以从 get.php 接口获取到

在该文件的第 1253 行打下断点，可以看到此时的 t 中已经生成了 h9s9: “1803797734” ：

参数 o 复现完毕，回到第 6078 行，分析完 V[$_CAIAt(353)] https://blog.csdn.net/zhp980121/article/details/l 即完成，跟进，定义在第 3218 行，在第 3230 行打下断点，这里为 AES 加密，初始向量 iv 值为 “0000000000000000”：