[初入逆向]- 午安农场的一次逆向学习记录

背景说明

源于农场脚本泛滥，终于歪呦哎的大版本更新，因为一帮吊毛们使用脚本疯狂种菜，导致午安的nc被鱼油们疯狂播种，yui和午安于是一拍即合，上周末憋了一坨大的，把午安nc的请求进行了一波加密，并且js还进行了恶心的混淆，此时脚本档哭天喊地，对yui和午安进行了惨无人道的精神攻击。脚本党暂时性歇菜了……甚至我的一台小破服务器也被yui加到黑名单了。（把47的那个服务器放出来啊……呜呜呜）

需求说明

在当前背景下，各路脚本党开始了对yui加密方式的破解，我也加入了这个大队伍，然而，一帮子吊毛都是三分钟热度，看了一眼js说被混淆了，看不懂，就不研究了，剩下我和达不溜还在跟yui战斗到底（还好有达不溜陪我）,各路吊毛退出队伍后将这个对大佬来说易如反掌，对我来说难如登天的任务留给了我。

逆向过程

1、首先要看各个接口的入参，n次请求后发现，入参有三个，pem和key是固定值，只有data字段在变化，所以我将逆向重点放在data字段上

2、查找入参加密的js文件，在控制台源代码那里找到对应的js文件，然后搜索关键字，如果搜到关键字说明就是这个js文件里的某个方法对参数进行了加密（或者使用fiddler抓包程序，抓取对应js文件）

ps：这里如果你直接搜data的话肯定有很多结果，所以你可以在源代码里搜pem这种不常见的字段

3、分析找到的js文件，可以看出来js文件是进行了各种处理，导致代码可读性几乎没有（我不是前端，我是真读不懂，可能前端大佬能读懂吧），那我们只能拿出来这个方法，进行分析

4、从代码看，虽然没读懂data的直接生成方式，但是可以看出来data生成的时候跟e有密不可分的关系，往上追溯e的来源，发现e是加密方法的入参转换成字符串，然后进行URI编码，然后进行base64加密生成的密文，这个比较简单，自己写一个方法，执行一下就可以看到结果。

5、验证上面的逻辑是否正确，把这个js文件的代码复制下来，保存到本地，打开fildder（妈了个头的，这个破东西老早之前安装的，一段时间没用发现打不开了，不知道发生了什么，我重新安装了一个才行），添加规则把请求的js资源替换成本地文件，修改本地文件的内容，添加console.log(),从控制台查看输出内容与自己写的那点代码输出的内容是否一致即可。