0x00 起因某天做梦，梦见老板让我对这个网站渗透，我打开一看，诶！！！前端js加密？？？ 0x01 入手1.相信不少小伙伴在渗透过程中都遇到过，抓包中存在着一些加密传输字符。
2.当我们作为一个毫无办法的新手时，我们需要做的第一件事就是“搜”。
3.搜什么呢？如上图数据包，哪里加密搜哪里。这里搜frameUrlSecretParam与frameBodySecretParam。
4.我们的frameUrlSecretParam搜出来存在与一段混淆加密的js里。
5.我打上断点，定睛一看，诶，并没有停到此处。说明，业务流程与这儿毫无关系。
6.那么我接着搜下一个frameBodySecretParam参数名，直接搜不到，WTF?
7.不怕，掏出我20种常用办法之一，搜索encrypt。
encrypt
decrypt
JSON.parse
JSON.stringify
ajax
....
8.这么多我要断点哪一个，很明显sm2secrity.js是个加密的调用文件，函数触发点肯定不在这儿，至于miniui.js全是大写的，更不像，那么只剩前几个了，简单调试一下。
9.很明显encryptAjaxParams就是我们frameBodySecretParam的核心加密函数了，那么入手工作就已完成。
0x02 代码分析一1.重新回到断点，在停到断点时，选择步进函数，进入到加密函数本体，代码被混淆了。
2.逐步步过，和寻找encrypt加密点一样，紧紧跟住参数值，找到真正加密点，走了三步左右，数据便被加密。
3.核心分析点为
return window['\x75\x73\x65\x53\x6d\x32\x45\x6e\x63\x72\x79\x70\x74'] ? _0x3a232b = _0xbfd749(0x1f7) + Util[_0xbfd749(0x223)](mini[_0xbfd749(0x210)](_0x4b8958)) : _0x3a232b = Util[_0xbfd749(0x1ee)](mini[_0xbfd749(0x210)](_0x4b8958)),4.这是javascript的三目运算，百度即可。类似if else。
5.具体混淆代码代表是什么东西，通过查看数据的值来进行判断。 \x75\x73\x65\x53\x6d\x32\x45\x6e\x63\x72\x79\x70\x746.问号前是条件语句，而windows是全局浏览器对象，那么对象里的这个是什么呢？我们用python print一下就知道了。答案是useSm2Encrypt。
7.那么我们现在断在断点前面，使用console进行打印。
8.这里就是空，也是false，代表使用冒号后面的条件进行加密。
9.简单阅读一下功能，_0x4b8958是我们的原参数，mini_0xbfd749(0x210)，熟悉js应该知道，这里其实就是json序列化类似于JSON.stringify()，当然也可以自行百度。
10.整理代码如下。
_0x3a232b = Util[_0xbfd749(0x1ee)](mini[_0xbfd749(0x210)](_0x4b8958))11大概翻译过来也就是这样。 加密值 = Util.encrypt(json.stringify(原参数值))12.我找到加密函数，进入了加密函数，在加密函数里找到了加密函数，那么我要做什么呢？进入加密函数，继续分析，找到加密点，跟到了这儿。
12.跟到这儿以后，简单阅读一下功能。
var _0x747baa = _0x20b204[_0x32df64(0x206)](_0x20b204[_0x32df64(0x1e5)](_0x20b204[_0x32df64(0x206)](_0x4510fe)));_0x20b204是window，里面对象的值大概就是 var 加密值 = window["encodeURIComponent"](window["bota"](window["encodeURIComponent"](值)))12.关于window["encodeURIComponent"]与window["bota"]是什么直接百度。就是简单的url编码+base64编码+url编码。
13.在burp上进行测试，如右边编码。
14.至此加密分析一结束。
0x03 代码分析二1.也就是同上步骤，当window.useSm2Encrypt为true的时候又发生了什么呢，这里我们需要找到一个功能点是true的时候。
2.断点断上，在consloe输出一下window.useSm2Encrypt为ture的时候。
3.开始分析，冒号之前的代码。
_0x3a232b = _0xbfd749(0x1f7) + Util[_0xbfd749(0x223)](mini[_0xbfd749(0x210)](_0x4b8958))
加密值 = "encbody_" + Util[_0xbfd749(0x223)](json.stringify(原数据))4.跟进 Util[_0xbfd749(0x223)]。
5.走到了这儿。
6.跟进sm2Encrypt，这就是一个普通的sm2加密了。
0x04 明文传输1.如何采取明文进行传输呢？
2.首先我们要了解前后端交互的知识。那么在核心加密点处，我们不经过这个函数不就完了么？
3.那么这里要提及burp的功能之一，Match and replace。
4.这个功能可以匹配到相应的参数，进而进行替换。这里直接写个案列。
5.替换后，进入burp查看，数据已经明文。
0x05 mitmproxy联动1.如何使用中间代理进行自动的加密呢？
2.首先我们要了解mitmproxy是什么，相当于将burp的请求转到mitmproxy中进行自行加密。
3.使用burp的proxy功能将请求发送到mitmproxy。
4.仅抛转引玉，加密由后文单独阐述。
from mitmproxy import proxy, options
from mitmproxy.tools.dump import DumpMaster
import json, time
class DLNSProxy:
@staticmethod
def request(flow):
if flow.request.method == 'POST':
datas = flow.request.get_content()
print('########################requests path##################################')
print(flow.request.path)
datas = json.loads(datas.decode())
req_datas = xxx加密算法()
flow.request.raw_content = req_datas
#由于本文响应为明文故不需要处理响应
@staticmethod
def response(flow):
if flow.request.method == 'POST':
datas = flow.response.get_content()
try:
datas = json.loads(datas.decode())
except:
pass
body = datas["body"].replace(" ", "").split("\u001d")[0]
print("------------")
de = aes_decrypt(body)
datas["text"] = de
# if body != {}:
# de = aes_decrypt(body)
# datas["text"] = de
rsp_data = json.dumps(datas, ensure_ascii=False, separators=(",", ":")).encode()
Content_Length = bytes(str(len(rsp_data)), 'utf-8')
headers = flow.response.headers
headers['Content-Length'] = Content_Length
flow.response.raw_content = rsp_data
def start():
bp = DLNSProxy()
opts = options.Options(listen_host='127.0.0.1', listen_port=8888)
pconf = proxy.config.ProxyConfig(opts)
m = DumpMaster(opts)
m.server = proxy.server.ProxyServer(pconf)
m.addons.add(bp)
try:
m.run()
except KeyboardInterrupt:
m.shutdown()
if __name__ == '__main__':
start()0x06 总结https://xz.aliyun.com/t/12720author:那是坦ke吗
| 
发表于 2023-9-5 11:00:01