2019年末逆向复习系列之Boss直聘Cookie加密字段__zp_stoken__逆向分析

客官°小女子只卖身不卖艺 2022-12-22 08:43 309阅读 0赞

> 郑重声明：本项目的所有代码和相关文章， 仅用于经验技术交流分享，禁止将相关技术应用到不正当途径，因为滥用技术产生的风险与本人无关。

这篇文章是公众号《云爬虫技术研究笔记》的《2019年末逆向复习系列》的第七篇：《Boss直聘Cookie加密字段\_\_zp\_stoken\_\_逆向分析》

本次案例的代码都已上传到[Review\_Reverse][Review_Reverse]上面，后面会持续更新，大家可以`Fork`一波。

具体加密JS可以在`Review_Reverse.boss_zp.encrypt.js`中看到，替换具体的参数即可。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70][]

## 背景分析 ##

`Boss直聘`大概可以算是目前最火的招聘软件了！几个月前的火遍全网的“找工作，马上，和老板谈！”真的是洗脑了一遍又一遍啊！  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 1][]  
鉴于`Boss直聘`的职位更新速度快，职位发布多的两大特点，很多做行业分析和各地岗位差距报告的人都会利用`Boss直聘`的数据来做分析，几个月前，`Boss直聘`对他们的接口在`Cookie`方面做了`__zp_stoken__`字段的加密，这次案例就用它来做逆向分析。

## \_\_zp\_stoken\_\_字段生成流程分析 ##

我们需要分析的是`__zp_stoken__`字段，我们看看它是在哪里生成的  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 2][]  
我们要获取`Cookie`生成的过程，先把网站的数据清空，在`Chrome`中的`Application`中利用`Clear site data`清理好该网站下的数据，然后我们重新刷新网站（我们需要在具体的职位信息页面刷新，因为首页不需要`Cookie`就能直接访问），看看`Network`列表中的`Cookie`生成过程  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 3][]  
我们首先会访问具体的职位信息页面，得到一个`HttpCode`是`302`的响应，代表这次的访问重定向到一个新的`URL`了，这个`URL`可以在响应中的`Location`中看到，拿到的是`security-check.html`这个`URL`，我们看看这个`URL`是什么内容  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 4][]  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 5][]  
这个`URL`具体有几个`Param`

*  `seed`
 *  `name`
 *  `ts`
 *  `callbackUrl`
 *  `srcReferer`

根据多次的访问测试，发现变化的字段主要是`seed`、`name`、`ts`，也就是这个`URL`是动态的，我们直接下断点是打不到具体的地方的，在`Chrome`里我们也拿不到这个链接的具体响应内容，我们利用`Fiddler`来获取链接内容

可以看出`__zp_stoken__`是这么生成的

var seed = decodeURIComponent(getQueryString("seed")) || "";
    var ts = getQueryString("ts");
    code = new ABC().z(seed, parseInt(ts)+(480+new Date().getTimezoneOffset())*60*1000);

简化一下

480+new Date().getTimezoneOffset() = 0
    code = ABC.z(seed, ts)

如上所示，通过传入的`seed`和`ts`参数调用实例`ABC`的`c`方法来生成，给当前的`document`对象加上带`__zp_stoken__`的`Cookie`之后重新加载页面，这样整个从无`Cookie`访问到生成`Cookie`重载页面访问的流程就分析到这里。

## \_\_zp\_stoken\_\_生成逆向分析 ##

### 1. 切中关键语句，下断点 ###

刚才说了`security-check.html`这个问题是动态的，我们不能去给这个文件下断点，重新看看`security-check.html`的页面源码

var fileName = getQueryString("name");
    seriesLoadScripts("security-js/" + fileName + ".js", function())

加载了包含加密方法的Js文件，`fileName`是`security-check.html`的`params`中的`name`字段，我们在`Sources`的`Page`中找到该`Js`文件，整个文件一共是`5381`行  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 6][]  
上面我们分析了加密使用`ABC`的`z`方法，在文件中搜索`ABC`字符，找到了`z`方法  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 7][]  
先对最后的`return`语句打断点  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 8][]  
重新刷新页面，可以获取的整个方法中各个参数的值，接下来开始分析整个加密方法的流程

### 2. 删繁就简，核心流程分析 ###

分析z加密方法

ABC[_0x56ae('0x3e')]['z'] = function(_0x172aa3, _0x38e762) {
      //_0x56ae('0x3e') 是 prototype，ABC[_0x56ae('0x3e')]['z']也就是给ABC方法的prototype属性中的键z指定方法，_0x172aa3是seed，ts是时间戳
        var _0x3a1f8c = {};
        _0x3a1f8c[_0x56ae('0x3f')] = function(_0x5362ae, _0x320fdd) {
            return _0x5362ae == _0x320fdd;
        }
        ;
        _0x3a1f8c[_0x56ae('0x40')] = _0x56ae('0x41');
        _0x3a1f8c[_0x56ae('0x42')] = _0x56ae('0x43');
        _0x3a1f8c[_0x56ae('0x44')] = function(_0x2e473d, _0x3ad5ac, _0x1c497c) {
            return _0x2e473d(_0x3ad5ac, _0x1c497c);
        }
        ;
        _0x3a1f8c[_0x56ae('0x45')] = function(_0x1f3c2a, _0x218684) {
            return _0x1f3c2a + _0x218684;
        }
        ;
        try {
            if (document && _0x3a1f8c[_0x56ae('0x3f')](_0x3a1f8c[_0x56ae('0x40')], typeof document[_0x56ae('0x46')])) {
                _0x5606fe = _0x172aa3;
                _0x2f4975 = _0x38e762;
            } else {
                _0x5606fe = _0x3a1f8c[_0x56ae('0x42')];
            }
        } catch (_0x1f6304) {
            _0x5606fe = _0x3a1f8c[_0x56ae('0x42')];
        }
        //上面几项是给dict赋值，没有什么难度，可以不做修改，重点是最后的return语句中的方法
        return _0x3a1f8c[_0x56ae('0x44')](_0x49423a, this, _0x3a1f8c[_0x56ae('0x45')](_0x172aa3[_0x56ae('0x47')], 0xb));

return 语句是这样

我们在`console`中获取每个参数的值，看看能不能做精简

*  `_0x3a1f8c[_0x56ae('0x44')]`

function(_0x2e473d, _0x3ad5ac, _0x1c497c) {
            return _0x2e473d(_0x3ad5ac, _0x1c497c);
    }

\_0x3a1f8c\[\_0x56ae(‘0x44’)\]是这样一个方法，参数一是方法，参数二、三作为参数一方法的参数

*  `this`

function ABC() {
        this['i0'] = 0x0;
        this['d'] = [this];
    }

this就是ABC实例，可以在同一个文件中搜索ABC可以得到

_0x3a1f8c[_0x56ae('0x45')](_0x172aa3[_0x56ae('0x47')], 0xb)

这个参数直接放在console里面运行，得到固定值是55,

从上面分析来看，return语句可以直接简化成

_0x49423a(ABC, 55)

### 3. 还是那句话，缺啥补啥 ###

我们现在拿到了关键语句，接下来就是调试`_0x49423a`方法，往`js`文件里面添加缺少的变量和函数方法，出于简单的考虑，直接使用`node`来调用`js`文件  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 9][]  
直接拿`node`运行`js`文件得出来的结果和在`Chrome`的`console`里运行`js`内容得到的结果不一样，看来还需要调试在哪个地方引用的`windows`，`this`之类的值两个运行环境有差别

## \_\_zp\_stoken\_\_参数生成注意要求 ##

*  1.  `Js`加密函数所在文件不同，不过文件内容逻辑基本相同，只用分析一个文件即可
 *  1.  `__zp_stoken__`参数生成之后，不能直接在`Cookie`中使用，需要做`URLencode`才能使用

## 复习要点 ##

1.这个案例也是很好的动态Cookie生成的案例，和之前的努比亚论坛的Cookie生成案例类似，利用window.location.href/replace/reload()这些机制来重载页面，具体如下图所示:

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 10][]

2.在调试的时候注意关键词的值，比如this,document,windows这些，往往有时候虽然方法走通了，但是值不对，很有可能就是上面这些值在赋值时发生了错误。

[Review_Reverse]: https://github.com/lateautumn4lin/Review_Reverse
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70]: /images/20221120/b1072278345f411297f125359f0df819.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 1]: /images/20221120/db258541dd1c4bbf9d10a03f70635eb2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 2]: /images/20221120/8ab870b7c5584374b98dd7219eb414ba.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 3]: /images/20221120/6c3903b4f15f4eab90204c91b4bbe425.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 4]: /images/20221120/e6bb7f88b46f41ad855fb34c5949936c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 5]: /images/20221120/167816e867844494a739e97e94d8f0eb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 6]: /images/20221120/e10393968acb4bd085731c93af9bf3aa.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 7]: /images/20221120/7482b6e2f68a4c809d58149f3616da72.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 8]: /images/20221120/af0e88b0db7e46e7a28abcaabd363349.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 9]: /images/20221120/c31b695347954e41a324282286d86b22.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9sYXRlYXV0dW1uNGxpbi5ibG9nLmNzZG4ubmV0_size_16_color_FFFFFF_t_70 10]: /images/20221120/90b8c7cf112542fca1b020ce65ca6509.png