逆向分析数美验证码全家桶, 解密AST获取动态参数

后端

2022-12-09 05:42:59

揭秘数美验证码全家桶逆向分析：AST动态参数获取

概述

验证码作为网络安全中一道重要的防线，其破解技术也在不断更新。本次，我们将深入分析数美验证码全家桶，揭示其AST（Anti-Spam Token）获取动态参数的原理，并探索破解技术。

AST动态参数原理

AST是数美验证码中重要的安全机制，通过分析用户设备和网络信息，生成动态参数，提升验证码安全性。动态参数嵌入验证码中，服务器接收后与用户提交的验证码比对，一致则通过。

逆向分析

通过对数美验证码的逆向分析，我们发现AST获取动态参数的过程主要涉及以下步骤：

设备信息收集： 收集设备型号、操作系统、浏览器信息等。
网络信息收集： 收集IP地址、端口号、协议类型等。
数据综合分析： 将收集的信息进行综合分析，生成唯一动态参数。

代码示例

// 设备信息收集
const deviceInfo = {
  model: navigator.userAgent,
  os: navigator.platform,
  browser: navigator.userAgent,
  version: navigator.appVersion,
};

// 网络信息收集
const networkInfo = {
  ip: window.location.hostname,
  port: window.location.port,
  protocol: window.location.protocol,
};

// 动态参数生成
const dynamicParam = generateDynamicParam(deviceInfo, networkInfo);

破解技术

了解AST获取动态参数原理后，我们可针对性开发破解技术，包括：

动态参数替换： 修改生成动态参数的函数，替换参数。
设备信息伪造： 伪造设备信息，欺骗AST生成错误参数。
网络信息伪造： 伪造网络信息，欺骗AST生成错误参数。

代码示例

// 动态参数替换
function modifiedGenerateDynamicParam(deviceInfo, networkInfo) {
  return "modified_dynamic_param";
}

// 设备信息伪造
function fakeDeviceInfo() {
  return {
    model: "fake_model",
    os: "fake_os",
    browser: "fake_browser",
    version: "fake_version",
  };
}

// 网络信息伪造
function fakeNetworkInfo() {
  return {
    ip: "fake_ip",
    port: "fake_port",
    protocol: "fake_protocol",
  };
}