WEB前端逆向JS RPC简介
2024-8-29 14:50:47 Author: mp.weixin.qq.com(查看原文) 阅读量:0 收藏

创建: 2024-08-28 17:08

目录:

    ☆ 背景介绍
    ☆ JsRpcDemo
        1) Chrome访问目标URL
        2) 定制config.yaml
        3) 启动wsserver
        4) 准备wsclient环境
        5) 创建wsclient
        6) 查看当前连接的wsclient
        7) execjs接口远程执行js代码
        8) go接口远程调用预注册API
            8.1) 在wsclient中预注册API
            8.2) 其他组件远程调用预注册API
        9) JS RPC大致框架
       10) Mixed Content安全策略
    ☆ spa2.scrape.center
        1) execjs接口远程执行js代码
    ☆ 某TS PES NALU解密案例

☆ 背景介绍

本文以三个示例从易到难地演示一种名为JS RPC的技术。

参看

js逆向之远程调用(rpc)免去抠代码补环境
https://github.com/jxhczhl/JsRpc
https://github.com/jxhczhl/JsRpc/releases/download/v1.071/linux_amd64
https://github.com/jxhczhl/JsRpc/releases/download/v1.071/window_amd64.exe
https://github.com/jxhczhl/JsRpc/blob/main/config.yaml
https://github.com/jxhczhl/JsRpc/blob/main/resouces/JsEnv_Dev.js

☆ JsRpcDemo

完整测试用例打包

https://scz.617.cn/web/202408281708.txt
https://scz.617.cn/web/202408281708.7z

1) Chrome访问目标URL

python3 -m http.server -b 192.168.65.25 8080
http://192.168.65.25:8080/JsRpcDemo.html

Chrome访问URL,测试JsRpcDemo.html,F12确认一切正常。

JsRpcDemo.html中有个weird()函数,源自JsRpcDemo.wasm。本例不做wasm逆向工程,不猜weird()内部实现,假设内部实现复杂,现尝试用JS RPC技术远程调用之。

2) 定制config.yaml

#
# 侦听IP、PORT
#
BasicListen: "192.168.65.25:40080"
HttpsServices:
  #
  # 启用HTTPS/wss服务
  #
  IsEnable: true
  HttpsListen: "192.168.65.25:40443"
  PemPath: "192.168.65.25.crt"
  KeyPath: "flask.key"

#
# 当执行端(Chrome)没有返回值时,以秒为单位的等待超时
#
DefaultTimeOut: 30
#
# 关闭一些日志
#
CloseLog: false
#
# 关闭Web服务访问的日志
#
CloseWebLog: false
#
# release/debug/test,三种版本
#
Mode: release
#
# 开启CorsMiddleWare中间件
#
Cors: false

上面是我测试用的配置。启用wss时,需提供适当私钥、证书文件,许多人不想折腾这一步,但建议别怕麻烦。缺省配置未启用wss,只启用ws,侦听127.0.0.1:12080。若不想侦听127.0.0.1,又只启用ws,这种组合实战时不适用,涉及浏览器安全策略,后面还会提及。

3) 启动wsserver

wget https://github.com/jxhczhl/JsRpc/releases/download/v1.071/linux_amd64
chmod +x linux_amd64
./linux_amd64 -c config.yaml

启动wsserver,同时启用ws、wss。双击window_amd64.exe启动wsserver,本质一样,只是用缺省配置。我习惯可控,显式指定配置文件启动wsserver。

许多教程用Windows版wsserver,不显式指定config.yaml,侦听127.0.0.1,有利有弊,根据自身水平、实际场景做选择,不勉强。即使用127.0.0.1,也可结合端口转发工具,比如Windows自带的netsh。

4) 准备wsclient环境

F12 Console中Copy/Paste输入JsEnv_Dev.js内容。

若遭遇错误提示

Identifier XXX cannot be declared with var in current evaluation scope, consider trying let instead

可将XXX函数改成如下形式

XXX = function ...;

即Copy/Paste输入JsEnv_Dev_other.js内容。

5) 创建wsclient

F12 Console执行

/*
 * HTTP
 */

wsclient    = new Hlclient( "ws://192.168.65.25:40080/ws?group=somegroup&clientId=someclientid" );

/*
 * HTTPS
 */

wsclient    = new Hlclient( "wss://192.168.65.25:40443/ws?group=somegroup&clientId=someclientid" );

这一步会与wsserver建立通信。从应用层讲,HTTP与HTTPS的区别只在于ws、wss。group、clientId参数值任意,这里指定成什么,将来就用什么,匹配即可。

6) 查看当前连接的wsclient

新开Chrome或"curl -k"访问

http://192.168.65.25:40080/list
https://192.168.65.25:40443/list

应该看到响应

{"data":{"somegroup":["someclientid"]},"status":200}

7) execjs接口远程执行js代码

创建wsclient后,其他组件可通过JS RPC execjs接口在wsclient中执行js代码,比如:

weird('scz')

用CyberChef/URL Encode处理成

weird%28%27scz%27%29

新开Chrome访问

http://192.168.65.25:40080/execjs?group=somegroup&clientId=someclientid&code=weird%28%27scz%27%29
https://192.168.65.25:40443/execjs?group=somegroup&clientId=someclientid&code=weird%28%27scz%27%29

curl -k -X POST https://192.168.65.25:40443/execjs \
-H "Content-Type: application/json" \
-d '{
    "group"     : "somegroup",
    "clientId"  : "someclientid",
    "code"      : "weird(\"scz\")"
}'

应该看到响应

{"data":"da26...1c17","group":"somegroup","name":"someclientid","status":"200"}

execjs接口同时支持GET、POST

8) go接口远程调用预注册API

创建wsclient后,其他组件可通过JS RPC go接口远程调用在wsclient中预注册的API

8.1) 在wsclient中预注册API

F12 Console执行

wsclient.regAction( "weird"function ( resolve, param {
    let ret = weird( String( param ) );
    resolve( ret );
});

不少人将这几步混在一起演示

. 准备wsclient环境
. 创建wsclient
. 在wsclient中预注册API

实际上它们是不同阶段的不同概念。有些场景用execjs接口即可,预注册API只与go接口相关。换句话说,不是所有场景都得预注册API。

8.2) 其他组件远程调用预注册API

新开Chrome访问

http://192.168.65.25:40080/go?group=somegroup&clientId=someclientid&action=weird&param=scz
https://192.168.65.25:40443/go?group=somegroup&clientId=someclientid&action=weird&param=scz

curl -k -X POST https://192.168.65.25:40443/go \
-H "Content-Type: application/json" \
-d '{
    "group""somegroup",
    "clientId""someclientid",
    "action""weird",
    "param""scz"
}'

应该看到响应

{"data":"da26...1c17","group":"somegroup","name":"someclientid","status":"200"}

go接口同时支持GET、POST

9) JS RPC大致框架

F12 Console (wsclient) - linux_amd64 (中间件/wsserver) - Other WWW Client

F12通过ws/wss与linux_amd64通信,其他WWW客户端通过HTTP/HTTPS与linux_amd64通信。linux_amd64扮演中间件或wsserver角色,其他WWW客户端与F12之间通过中间件建立通信。其他WWW客户端通过execjs或go接口在wsclient侧执行任务,execjs接口将js直接发往wsclient执行,go接口调用在wsclient中预注册的API。任务结果经中间件返回其他WWW客户端。

有预编译好的Linux、Windows版中间件。config.yaml指定中间件侦听的IP、PORT,是否支持HTTPS/wss,超时时间等。

new Hlclient会生成wsclient,wsserver即中间件。JsEnv_Dev.js提供wsclient所需环境。

10) Mixed Content安全策略

若目标URL用HTTPS

https://192.168.65.25:8080/JsRpcDemo.html

"python3 -m http.server"不提供HTTPS支持,想测此情形,需自行提供HTTPS服务。

创建wsclient时必须用wss,不能用ws,后者会报错:

Mixed Content: The page at 'https://192.168.65.25:8080/JsRpcDemo.html' was loaded over HTTPS, but attempted to connect to the insecure WebSocket endpoint 'ws://192.168.65.25:40080/ws?group=somegroup&clientId=someclientid'. This request has been blocked; this endpoint must be available over WSS.

这是浏览器安全策略所致。现实世界中,目标URL大概率是HTTPS,此时wsclient用wss肯定可行,要求中间件相应启用HTTPS/wss,需提供适当私钥、证书文件。

若中间件不方便启用HTTPS/wss,可用localhost绕过Mixed Content安全策略。假设目标URL是HTTPS,只要ws目标IP是127.0.0.1,就不必用wss。几乎所有演示都是这种,省事呗。

☆ spa2.scrape.center

推荐一本书

《Python 3网络爬虫开发实战(第二版)_崔庆才》

2024年3月时我还是WEB小白,从这本书开始接触WEB前端逆向的,没有捷径,跟着学一遍就是捷径。作者提供了不同知识点的练习站,相当于靶场,本节使用其中一个。

Chrome访问

https://spa2.scrape.center/

F12 Network/Fetch XHR,看到每一页Ajax都带token参数,形如:

https://spa2.scrape.center/api/movie?limit=10&offset=0&token=MjM2YmI2NzIzNzE2YzU1NzIyZjRjODYyYzFkODQ5NWYxOTU5MmE1OCwxNzI0NzMwMjE3
https://spa2.scrape.center/api/movie/?limit=10&offset=0&token=MjM2YmI2NzIzNzE2YzU1NzIyZjRjODYyYzFkODQ5NWYxOTU5MmE1OCwxNzI0NzMwMjE3

后者是前者的301。直接"curl -kLv"访问上述URL,得到401,服务端会校验token。

尝试通过XHR断点调用栈回溯找token如何生成:

F12 Sources XHR/fetch Breakpoints
Break when URL contains
?limit=10&offset=

断点命中时查看调用栈回溯。本例简单,注意到onFetchData()

/*
 * https://spa2.scrape.center/js/chunk-10192a00.243cb8b7.js
 */

onFetchData: function() {
    var t = this;
    this.loading = !0;
    //
    // this.page是页码,从1递增
    // this.limit等于10,一般不变
    // this.$store.state.url.index 是 '/api/movie'
    // a是offset,从0始,以limit步进
    // e即token
    //
    var a = (this.page - 1) * this.limit
      , e = Object(i["a"])(this.$store.state.url.index, a);
    //
    // 在此设断,命中后创建wsclient
    //
    this.$axios.get(this.$store.state.url.index, {
        params: {
            limit: this.limit,
            offset: a,
            token: e
        }
    }).then((function(a) {
        ...
    }
    ))
}

在onFetchData()中适当位置设断,命中后查看作用域中局部变量,e即token,由函数Object(i["a"])()生成,本例不分析该函数具体实现,假设该函数非常复杂,只知其in/out,现尝试用JS RPC技术远程调用Object(i["a"])()。

假设wsserver已启动,前述断点命中时,F12 Console中输入JsEnv_Dev_other.js内容,即将

function XXX ()

改成如下形式

XXX = function ...;

本例若不如此,可能遭遇如下错误提示

Identifier XXX cannot be declared with var in current evaluation scope, consider trying let instead

F12 Console执行

/*
 * HTTPS
 */

wsclient    = new Hlclient( "wss://192.168.65.25:40443/ws?group=somegroup&clientId=someclientid" );

wsclient.regAction( "PrivateGetToken"function ( resolve, param {
    let ret = Object(i["a"])( param.path, param.offset );
    resolve( ret );
});

regAction时无需将Object(i["a"])挂到全局对象window下,此非必要动作。

F12 Deactivate breakpoints (Ctrl-F8),忽略所有断点
F12 Resume script execution (F8 或 Ctrl-),继续执行

新开Chrome访问

http://192.168.65.25:40080/list
http://192.168.65.25:40080/go?group=somegroup&clientId=someclientid&action=PrivateGetToken&param={\"path\":\"/api/movie\",\"offset\":0}

https://192.168.65.25:40443/list
https://192.168.65.25:40443/go?group=somegroup&clientId=someclientid&action=PrivateGetToken&param={\"path\":\"/api/movie\",\"offset\":0}

curl -k -X POST https://192.168.65.25:40443/go \
-H "Content-Type: application/json" \
-d '{
    "group"     : "somegroup",
    "clientId"  : "someclientid",
    "action"    : "PrivateGetToken",
    "param"     : "{\"path\":\"/api/movie\",\"offset\":0}"
}'

本例PrivateGetToken()内部实现与时间戳相关,返回值每次都不同,要想实际爬取页面,必须编程实现,无法交互式测试,此处略。

1) execjs接口远程执行js代码

前述断点命中时,可不regAction,将来直接用execjs接口远程调用Object(i["a"]),只要创建wsclient即可。

新开Chrome访问

http://192.168.65.25:40080/execjs?group=somegroup&clientId=someclientid&code=Object(i["a"])("/api/movie",0)
https://192.168.65.25:40443/execjs?group=somegroup&clientId=someclientid&code=Object(i["a"])("/api/movie",0)

curl -k -X POST https://192.168.65.25:40443/execjs \
-H "Content-Type: application/json" \
-d '{
    "group"     : "somegroup",
    "clientId"  : "someclientid",
    "code"      : "Object(i[\"a\"])(\"/api/movie\",0)"
}'

将目标函数挂到全局对象window下,可换个好记的名字,除此之外,没啥实际意义。有人说TA碰上过作用域的问题,我未碰上过。原则是,非必要不外挂。

☆ 某TS PES NALU解密案例

参看

《WEB前端逆向TS PES NALU解密》
https://scz.617.cn/web/202408231518.txt
https://www.52pojie.cn/thread-1957747-1-1.html

Chrome访问

aHR0cHM6Ly9zcG9ydHMuY2N0di5jbi8yMDIwLzA5LzI3L1ZJREVHd3ZzZm9DbzhRbnplVFE5ZTUwbDIwMDkyNy5zaHRtbA==

已知vhs_drm2.min.js中有解密函数XOR,进blob后生效。现尝试用JS RPC技术远程调用XOR。

/*
 * 调用XOR
 */

debugger;
switch (5 !== o.nalUnitTypeCode && 1 !== o.nalUnitTypeCode || u && "object" == typeof CNTVH5PlayerModule && (o.data = e.XOR(o.data, 1)),

Overrides vhs_drm2.min.js,在switch前面加debugger,因为这段代码将来进blob执行,动态设断较麻烦,静态加debugger,省心。断点命中时,e.XOR即解密函数。

假设wsserver已启动,前述断点命中时,F12 Console中输入JsEnv_Dev_other.js内容。

准备好wsclient所需环境后,F12 Console执行

/*
 * HTTPS
 */

wsclient    = new Hlclient( "wss://192.168.65.25:40443/ws?group=somegroup&clientId=someclientid" );

wsclient.regAction( "PrivateXOR"function ( resolve, param {
    let buf = Uint8Array.from( atob( param ), c => c.charCodeAt(0) );
    let tmp = e.XOR( buf, 1 );
    let ret = btoa( String.fromCharCode( ...tmp ) );
    resolve( ret );
});

无需将e.XOR挂到全局对象window下

JS RPC是个概念上的RPC,没有负责序列化、反序列化的桩码,只能自己实现。为了远程传递Uint8Array,我用BASE64。

F12 Deactivate breakpoints (Ctrl-F8),忽略所有断点
F12 Resume script execution (F8 或 Ctrl-),继续执行

必须做上述两步,否则wsclient不能如期工作

新开Chrome访问

http://192.168.65.25:40080/list
http://192.168.65.25:40080/go?group=somegroup&clientId=someclientid&action=PrivateXOR&param=eQEBBgGgD3NVEBJO%2BHBJSuMyRRb%2FVnYa5EQkND9Kdmg%3D

https://192.168.65.25:40443/list
https://192.168.65.25:40443/go?group=somegroup&clientId=someclientid&action=PrivateXOR&param=eQEBBgGgD3NVEBJO%2BHBJSuMyRRb%2FVnYa5EQkND9Kdmg%3D

param值用CyberChef/URL Encode处理过,否则wsclient反序列化有问题。

curl -k -X POST https://192.168.65.25:40443/go \
-H "Content-Type: application/json" \
-d '{
    "group"     : "somegroup",
    "clientId"  : "someclientid",
    "action"    : "PrivateXOR",
    "param"     : "eQEBBgGgD3NVEBJO+HBJSuMyRRb/VnYa5EQkND9Kdmg="
}'

测试用的param是精心挑选过的,并非传任意值。一切正常的话,响应是

{"clientId":"someclientid","data":"eQEBBgGgD3NVEBJO+HBJSuMyRRb/VnYa5EQkND9Kdmg=","group":"somegroup","status":200}

表明,其他组件远程调用解密函数e.XOR成功。

之前提供过完整版ts_decrypt.js,将其中的XOR()替换成相应的JS RPC实现,得到ts_decrypt_remote.js,不依赖本地wasm或h5.worker_patch.js,较慢,但能用。

/*
 * 远程调用API
 *
 * buf即待解密数据,buf与ret都是Uint8Array,wsserver即
 *
 * https://192.168.65.25:40443/go
 */

async function PrivateXOR ( wsserver, buf {
    let param   = btoa( String.fromCharCode( ...buf ) );
    let data    = {
        "group"     : "somegroup",
        "clientId"  : "someclientid",
        "action"    : "PrivateXOR",
        "param"     : param,
    };
    data        = JSON.stringify( data );

    let headers = {
        'Cache-Control' : 'no-cache',
        'Content-Type'  : 'application/json',
    };

    let resp    = await post_html_k( wsserver, headers, data );
    let ret     = Uint8Array.from( atob( resp.data ), c => c.charCodeAt(0) );
    return ret;
}

目标函数形数、返回值是数字、字符串时,用execjs接口足矣。目标函数形参、返回值是复杂类型时,建议用go接口,需自己序列化、反序列化参数、返回值,比如前述XOR函数。理论上,仍可用execjs接口远程调用XOR,但几十KB的字符串,用execjs接口太不优雅了。


文章来源: https://mp.weixin.qq.com/s?__biz=MzUzMjQyMDE3Ng==&mid=2247487544&idx=1&sn=86dc5ffdce449707260a4130a2d08c56&chksm=fab2d307cdc55a111710041b94133899b948224f2745a12ee56ddeeab1e6005da0d4a9892d5c&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh