雪重 Python Developer 知识汗水灵感机遇

Back Home

2021年8月29日 spider js逆向

js逆向webpack国家医保服务平台

遇到webpack别懵，一般来说难度低于其他的js加密，了解了webpack的结构样式，扣起来就是缺啥方法直接复制粘贴即可。

本文以国家医保服务平台为例，记录下js webpack的逆向思路与方法。网站地址(base64)：

aHR0cHM6Ly9mdXd1Lm5oc2EuZ292LmNuL25hdGlvbmFsSGFsbFN0LyMvc2VhcmNoL21lZGljYWw=

1.抓包&定位

好家伙，header，post data里面均有加密的参数，如x-tif-nonce，x-tif-signature，signData等

看signData顺眼，全局搜索一下。很快，一下子定位到app js中，header和post data参数加密逻辑在一起，幸福啊！

2.先了解下webpack的基本结构

Webpack 是一个前端资源加载/打包工具。它将根据模块的依赖关系进行静态分析，然后将这些模块按照指定的规则生成对应的静态资源。

整体上看是一个自执行函数，传入的参数一般为object或者数组（内容都是function定义的一个一个方法）

必不可少的加载器，关键字exports，一般长这样

    function o(t) {
        if (n[t])
            return n[t].exports;
        var i = n[t] = {
            i: t,
            l: !1,
            exports: {}
        };
        return e[t].call(i.exports, i, i.exports, o),
        i.l = !0,
        i.exports
    }