1. 项目概述为什么我们要研究PerimeterX PX3如果你是一名前端工程师、安全研究员或者对Web应用安全与反自动化对抗感兴趣那么“PerimeterX”这个名字你一定不陌生。它是一家提供Bot防护服务的公司其部署在网站前端的JavaScript脚本通常以_px2或_px3的形式出现是许多自动化工具比如爬虫、批量注册脚本的“头号天敌”。这个脚本的核心任务就是在用户浏览器中收集大量环境指纹生成一个加密的“令牌”发送给服务器进行验证。服务器根据这个令牌判断当前请求是来自真人用户还是恶意机器人。那么我们为什么要“逆向分析”它呢原因很直接理解与对抗。对于安全研究者理解顶尖商业反爬方案的实现机制是提升自身安全攻防能力的最佳途径。对于开发者当你的合法业务自动化流程如数据聚合、价格监控被误判为Bot时你需要知道问题出在哪里以及如何在不触发防护的前提下让程序“看起来”更像真人。而“手把手教你逆向分析PerimeterX PX3从解混淆到扣出payload和pc参数”这个标题指向的正是这个过程中的核心攻坚点——破解其前端脚本的混淆并提取出用于服务器验证的关键数据。简单来说payload和pc参数是PerimeterX验证机制的心脏。payload通常是经过复杂加密和编码的、包含了浏览器指纹、用户行为、时间戳等信息的核心数据块。pc有时也叫_px或类似名称则是一个校验值可能由payload和其他密钥通过特定算法生成用于确保payload在传输过程中未被篡改。服务器收到请求后会使用对应的密钥解密payload并用pc进行校验从而完成一次验证。我们的目标就是通过静态分析和动态调试还原出生成这两个参数的完整逻辑这相当于拿到了打开这扇防护大门的“钥匙”。注意本文所有分析与技术探讨均旨在安全研究、学习交流与提升合法业务自动化流程的兼容性。严禁用于任何破坏网站安全、进行未授权数据爬取或其他非法活动。尊重目标网站的robots.txt协议和服务条款是每一位技术从业者的底线。2. 逆向分析的整体思路与工具准备逆向分析一个高度混淆的商业JS脚本就像拆解一个结构精密的黑盒。你不能硬来需要一套清晰的策略和顺手的工具。我们的整体思路可以概括为“动静结合由外及内”。2.1 核心思路拆解定位与提取首先我们需要在目标网页中找到PerimeterX的脚本。它可能被动态加载也可能内联在HTML中。我们的首要任务是获取到这份原始的、混淆后的JS代码。解混淆与可读化拿到代码后面对的可能是一堆变量名被替换成_0x1a2b3c、字符串被编码、控制流被扁平化或混淆的“天书”。这一步的目标是运用各种工具和技巧将代码还原到人类可以勉强阅读和分析的程度。关键逻辑定位在可读的代码中我们需要找到生成网络请求特别是包含payload和pc的请求的代码位置。这通常可以通过搜索特定的URL路径如/api/v2/collector、关键字如sendBeacon,fetch,XMLHttpRequest或独特的参数名来实现。算法分析与扣取定位到关键函数后我们需要深入分析其算法。payload是如何组装的包含了哪些数据这些数据是如何收集和加工的加密算法是什么pc又是如何根据payload和密钥计算出来的这一步是最考验耐心和技术的。代码重构与验证将分析清楚的算法逻辑用清晰的代码如Python或Node.js“扣”出来形成一个独立的、可以运行的模块。最后用这个模块模拟生成参数并与真实浏览器环境生成的结果进行对比验证确保完全一致。2.2 工具链准备工欲善其事必先利其器。以下是逆向分析PX3的推荐工具链浏览器开发者工具Chrome DevTools 或 Firefox Developer Tools。这是我们的主战场。特别是Sources面板用于查看和调试JSNetwork面板用于监控所有网络请求过滤px相关请求至关重要Console面板用于执行代码片段进行探测。代码美化与初步解混淆工具浏览器内置美化DevTools 中点击{}按钮可以美化压缩的代码这是第一步。AST抽象语法树解析库对于复杂的混淆如控制流扁平化、字符串数组化需要更强大的工具。babel、esprima等库可以用于解析和转换JS代码的AST。网络上也有一些开源的反混淆工具如de4js的在线版本或某些Chrome插件它们通常基于AST实现可以自动还原变量名、解析字符串数组、简化控制流。动态调试与追踪工具断点Breakpoint在疑似关键函数或网络请求发送处打上断点是跟踪程序执行流的根本方法。日志注入Console Logging在混淆代码中可以通过重写console.log或直接在关键函数入口插入调试语句来输出中间变量值这是理解数据流的神器。Hook技术通过重写浏览器原生API如Date.now,Math.random,CanvasRenderingContext2D.prototype.getImageData以及XMLHttpRequest.prototype.send和fetch可以拦截和修改这些函数的输入输出常用于对抗环境检测和追踪参数生成过程。脚本编写与环境分析清楚后我们需要用Node.js或Python来重构算法。Node.js的优势在于与JS原生兼容可以直接执行一些解密函数Python则在数据处理和集成到爬虫框架中更为方便。常用库包括requests、execjs用于在Python中运行JS代码、Crypto用于加解密操作等。实操心得在开始真正的逆向之前花点时间用浏览器的Network面板清晰地记录下一个“正常”的真人浏览会话中PX3脚本加载了哪些资源发送了哪些请求特别是collector请求请求体里到底有哪些字段。这个“基准线”对于后续验证你扣出来的代码是否正确具有黄金般的参考价值。3. 核心步骤一定位、提取与初步解混淆现在让我们进入实战环节。假设我们目标网站是example.com。3.1 定位PX3脚本打开Chrome DevTools进入Network面板勾选Preserve log。访问example.com在Network的筛选栏输入px或perimeter。你应该能看到一个或多个以_px3或_px2开头的JS文件被加载其域名通常是client.perimeterx.net或类似。这就是我们的目标脚本。点击这个请求在Response标签页中你可以看到完整的、混淆后的源代码。将其全选复制保存为一个本地文件例如px3_obfuscated.js。3.2 初步代码美化用文本编辑器打开这个文件内容可能是一行长达数万字符的压缩代码。我们可以先用在线JS美化工具或IDE的格式化功能让它变得有结构。但美化后的代码变量名依然是_0x1a2b3c这种无意义的字符函数逻辑也可能被“控制流扁平化”混淆即用一个大switch-case或while循环来分散原本线性的代码逻辑。3.3 应对常见混淆技术PerimeterX这类商业脚本会使用多种混淆技术标识符混淆变量、函数名被替换为短的无意义字符串。这除了让代码难读不影响逻辑。我们暂时不需要处理在分析时关注其赋值和引用关系即可。字符串常量混淆字符串被编码如Base64、Hex或拆散存放在一个数组中通过函数调用进行拼接。例如你可能会看到_0x123456(0x1f4)这样的调用_0x123456是一个函数它从一个全局字符串数组里根据索引0x1f4取出字符串。解混淆的关键之一就是还原这个字符串数组。我们可以写一个小脚本或者利用AST工具将这个数组的内容提取并替换回原处。控制流平坦化这是最棘手的部分。它将原本顺序执行的代码块打乱放入一个switch语句的不同case中由一个“分发器”变量来决定下一个执行哪个块。这极大地增加了人工跟踪执行路径的难度。对付它需要AST工具进行“控制流还原”或者更实用的方法是动态调试通过断点跟踪观察“分发器”变量的变化从而理清真实的执行顺序。注意事项不要试图一次性完全还原所有混淆。我们的目标是找到生成payload和pc的核心函数。因此可以先进行“部分解混淆”。例如先定位到那个巨大的字符串数组将其内容解码并打印出来你可能会发现其中包含了很多关键的API路径、参数名和算法常量这能为我们后续的搜索提供巨大帮助。4. 核心步骤二动态调试与关键逻辑定位静态分析遇到瓶颈时动态调试是我们的“透视镜”。我们的目标是找到最终发起那个包含payload和pc的collector请求的代码。4.1 从网络请求回溯在DevTools的Network面板找到那个发送给.../api/v2/collector的POST请求。点击它查看Initiator列。这里会显示是哪个JS文件、哪一行代码发起了这个请求。点击这个链接可以直接跳转到Sources面板的对应代码行。跳转过去后你很可能身处一个极度混淆的函数内部。没关系立即在这一行打上断点。4.2 断点调试与调用栈分析刷新页面脚本会在你的断点处暂停。此时查看Call Stack调用栈面板。这里显示了从页面加载开始到当前断点处所有被调用的函数链条。调用栈的底部通常是事件触发器越往上越接近我们关心的业务逻辑。在调用栈中从上往下从最近的调用开始逐个点击查看。寻找那些看起来不像浏览器原生API、且可能包含参数组装或加密逻辑的函数。当你看到一个函数内部出现了大量关于navigator、screen、plugins等浏览器属性收集或者出现了JSON.stringify、btoa、encrypt等字样时你就接近核心了。4.3 Hook关键函数进行追踪有时候调用栈很深或者代码被混淆得难以直接跟踪。我们可以使用“Hook”技术来辅助。例如我们可以HookXMLHttpRequest.prototype.send和fetch方法这样任何由它们发起的请求都会被我们拦截并能打印出请求的URL和请求体。// 在Console中执行这段代码用于Hook网络请求 (function() { var originalSend XMLHttpRequest.prototype.send; XMLHttpRequest.prototype.send function(body) { console.trace(XHR.send called!, this._url || this.url, body); // 这里可以检查URL是否包含‘collector’如果是则详细记录 if ((this._url || this.url).includes(collector)) { console.log(Found PX Collector Request Body: , body); debugger; // 自动触发断点方便分析 } return originalSend.apply(this, arguments); }; var originalFetch window.fetch; window.fetch function(input, init) { console.trace(fetch called!, input, init); if (input.includes(collector)) { console.log(Found PX Collector Fetch: , init?.body); debugger; } return originalFetch.apply(this, arguments); }; })();执行这段代码后刷新页面当PX3脚本尝试发送收集请求时控制台会打印出详细信息并且debugger语句会自动中断执行此时你再查看调用栈和当前作用域的变量就更容易定位到生成请求体的函数。通过以上方法我们最终的目标是定位到一个函数它接收一个包含浏览器指纹数据的对象然后对其进行处理输出一个可能是加密后的、待发送的payload字符串并同时计算出一个pc值。5. 核心步骤三算法分析与参数扣取假设我们通过动态调试终于找到了核心函数它可能被命名为类似buildPayload、encryptData或就是一个匿名的function(e)。现在进入最精细的环节理解它每一步在做什么。5.1 分解payload生成流程数据收集分析函数开头它从哪些全局对象或自身作用域中收集数据常见的收集项包括navigator.userAgent, navigator.platform, navigator.languagescreen.width, screen.height, screen.colorDepthwindow.location的各种属性document相关属性如document.referrerperformance.timing数据Canvas、WebGL 指纹通过调用相关API生成哈希字体列表本地存储、Session存储的特定键值鼠标移动、点击事件的监听情况 你需要记录下所有这些被收集的数据项和它们的取值。数据组装与序列化收集到的数据会被组装成一个大的JavaScript对象。然后这个对象会被序列化。序列化方式可能是JSON.stringify但更常见的是为了压缩和混淆使用自定义的序列化方式比如将对象转换成特定格式的数组或字符串。仔细跟踪这一步的转换逻辑。加密与编码序列化后的字符串或Buffer会进入加密环节。PerimeterX可能使用AES、DES或自定义的XOR流加密。你需要找到加密密钥可能硬编码在代码中也可能由服务器动态下发一部分和加密模式如CBC。加密后结果通常会再进行一次Base64编码形成最终的payload字符串。你的任务就是完全复现这个加密过程。这可能涉及在代码中找到加密算法的JS实现或者识别出使用的是浏览器的原生Crypto.subtleAPI。5.2 解析pc参数生成pc参数通常是一个校验码用于防止payload被篡改。它的生成算法可能包括HMAC使用一个密钥对payload或payload的某部分进行HMAC计算如HMAC-SHA256然后取结果的部分字节进行Hex或Base64编码。自定义哈希将payload、一个盐值salt和可能的时间戳拼接后进行多次自定义的哈希运算。直接作为加密过程的一部分输出例如某些加密模式的认证标签。你需要像跟踪payload一样跟踪生成pc的那行代码理清它的输入依赖哪些变量和计算过程。5.3 “扣代码”实战技巧“扣代码”不是简单地把找到的JS函数复制出来。因为混淆后的代码依赖大量上下文全局变量、其他辅助函数。你需要依赖分析在调试器中当执行到核心函数时记录下它所有引用到的、不在本函数内定义的变量和函数。这些就是它的依赖。逐层回溯对于每个依赖的函数重复步骤1直到追溯到不再依赖其他混淆函数的原生JS API或一些简单的常量为止。这个过程像剥洋葱。构建独立环境将核心函数以及所有它依赖的必要函数和常量一起复制到一个新的JS文件中。你需要模拟原代码的运行环境比如提供一些浏览器特有的全局对象window,navigator,document的模拟版本但只实现被用到的属性和方法。对于Canvas指纹等复杂操作在Node.js环境中可能需要用node-canvas库来模拟。替换加密库如果原代码使用了浏览器的Crypto.subtle在Node.js中可以用crypto模块来替代在Python中可以用cryptography或pycryptodome库。关键是确保算法、密钥、初始向量IV、填充模式等完全一致。实操心得这是一个极其需要耐心和细致的过程。一个字符的错误都可能导致最终结果对不上。建议使用“差分调试法”在浏览器真实环境中在核心函数入口和出口用console.log记录下输入和输出。然后在你扣出来的代码的相同位置也打印日志。对比两者的差异从第一个出现差异的地方开始排查是数据收集不一致序列化顺序错了还是加密密钥不对6. 常见问题与排查技巧实录即使按照步骤操作你也一定会遇到各种坑。下面是我在多次逆向中总结的一些典型问题及解决思路。6.1 问题动态加载的代码断点打不上现象在Sources面板找到的代码文件打上断点后刷新页面断点自动消失了变成空心圆或者根本不停住。原因PX3脚本可能是通过eval、Function构造函数或者动态创建script标签加载的每次加载的代码内容可能略有不同如包含一次性令牌导致源映射失效。解决方案使用“Event Listener Breakpoints”。在Sources面板的右侧展开 “Event Listener Breakpoints”勾选“Script” - “Script First Statement”。这样当任何新的脚本块开始执行时调试器都会自动暂停你就能在它执行之初打上断点。使用“XHR/fetch Breakpoints”。在Network面板可以右键请求URL选择 “Breakpoint” - “Add XHR/fetch breakpoint”。这样当有这个URL的请求发起时会自动在发起请求的代码处中断非常精准。6.2 问题加密结果总是和浏览器生成的对不上现象所有步骤似乎都正确但最终生成的payload字符串或pc值与浏览器生成的总有几位不同。排查思路输入一致性确保你扣的代码收集的浏览器指纹数据与真实浏览器环境完全一致。时间戳、随机数、计数器等动态值需要同步。在调试时将浏览器环境中收集到的原始数据对象直接作为你扣出代码的输入先排除数据源差异。算法细节加密算法是AES-128-CBC还是AES-256-GCM填充是PKCS#7还是ZeroPadding初始向量IV是固定的还是动态生成的密钥是完整的还是分段的这些细节必须百分百匹配。仔细对照混淆代码中的常量、函数调用顺序。编码问题加密操作是针对字节ArrayBuffer/Uint8Array进行的。检查在序列化后、加密前字符串到字节的转换编码是UTF-8还是Latin-1加密后字节到Base64字符串的编码是否有额外的处理如去除填充依赖函数行为差异你扣出来的某个辅助函数其行为可能与原环境有细微差别。例如一个处理数组循环的函数边界条件可能没考虑周全。用浏览器的Console对每个依赖函数用多种测试用例验证其输出是否与原函数一致。6.3 问题代码依赖了难以模拟的浏览器特性现象核心函数依赖CanvasRenderingContext2D.prototype.getImageData来生成指纹这在Node.js环境中无法直接运行。解决方案环境模拟在Node.js中使用node-canvas库可以模拟大部分Canvas 2D API。你需要安装该库并确保其版本和实现与浏览器端尽可能接近。结果注入如果只是为了生成参数而指纹在一定时间内相对稳定可以采用更简单的方法在浏览器环境中先运行一次完整的脚本将计算出的中间结果如Canvas指纹的哈希值记录下来。然后在你扣出的代码中直接硬编码这个结果绕过复杂的模拟计算过程。但这会降低代码的长期通用性。分离计算将指纹计算这部分单独剥离依然在一个“无头浏览器”环境如Puppeteer中执行只将最终参数生成逻辑扣出来。形成“Puppeteer负责收集指纹 - 传递给扣出的逻辑模块生成参数”的流水线。6.4 问题脚本有反调试机制现象一打开开发者工具脚本就停止运行或者页面行为异常。常见反调试手段检测DevTools通过检查window.outerHeight与window.innerHeight的差值或者console.log函数的toString结果来判断开发者工具是否打开。调试器语句在代码中插入debugger;语句如果调试器开启则会不断中断。应对策略禁用断点在Sources面板点击 “Deactivate breakpoints” 暂停图标变为灰色可以禁用所有断点绕过debugger;语句的干扰。重写检测函数在脚本加载前通过油猴脚本Tampermonkey或直接在Console中执行代码重写那些用于检测的函数使其永远返回false。例如Object.defineProperty(window, outerHeight, {get: () window.innerHeight}); // 或者直接重写 console 对象的某些方法 console.log function(){};使用无头浏览器对于反调试非常严格的网站可以考虑使用Puppeteer或Selenium等无头浏览器进行自动化分析它们可以通过启动参数禁用调试检测。逆向分析PerimeterX PX3是一个系统工程它考验的不仅是JavaScript和加密学知识更是耐心、细心和系统化的调试能力。每一次成功的逆向都像完成一次精密的解密游戏能让你对Web安全前端防护的理解深入骨髓。记住过程比结果更重要在这个过程中积累的调试技巧和反混淆经验将成为你应对未来更复杂挑战的宝贵财富。
1. 项目概述为什么我们要研究PerimeterX PX3如果你是一名前端工程师、安全研究员或者对Web应用安全与反自动化对抗感兴趣那么“PerimeterX”这个名字你一定不陌生。它是一家提供Bot防护服务的公司其部署在网站前端的JavaScript脚本通常以_px2或_px3的形式出现是许多自动化工具比如爬虫、批量注册脚本的“头号天敌”。这个脚本的核心任务就是在用户浏览器中收集大量环境指纹生成一个加密的“令牌”发送给服务器进行验证。服务器根据这个令牌判断当前请求是来自真人用户还是恶意机器人。那么我们为什么要“逆向分析”它呢原因很直接理解与对抗。对于安全研究者理解顶尖商业反爬方案的实现机制是提升自身安全攻防能力的最佳途径。对于开发者当你的合法业务自动化流程如数据聚合、价格监控被误判为Bot时你需要知道问题出在哪里以及如何在不触发防护的前提下让程序“看起来”更像真人。而“手把手教你逆向分析PerimeterX PX3从解混淆到扣出payload和pc参数”这个标题指向的正是这个过程中的核心攻坚点——破解其前端脚本的混淆并提取出用于服务器验证的关键数据。简单来说payload和pc参数是PerimeterX验证机制的心脏。payload通常是经过复杂加密和编码的、包含了浏览器指纹、用户行为、时间戳等信息的核心数据块。pc有时也叫_px或类似名称则是一个校验值可能由payload和其他密钥通过特定算法生成用于确保payload在传输过程中未被篡改。服务器收到请求后会使用对应的密钥解密payload并用pc进行校验从而完成一次验证。我们的目标就是通过静态分析和动态调试还原出生成这两个参数的完整逻辑这相当于拿到了打开这扇防护大门的“钥匙”。注意本文所有分析与技术探讨均旨在安全研究、学习交流与提升合法业务自动化流程的兼容性。严禁用于任何破坏网站安全、进行未授权数据爬取或其他非法活动。尊重目标网站的robots.txt协议和服务条款是每一位技术从业者的底线。2. 逆向分析的整体思路与工具准备逆向分析一个高度混淆的商业JS脚本就像拆解一个结构精密的黑盒。你不能硬来需要一套清晰的策略和顺手的工具。我们的整体思路可以概括为“动静结合由外及内”。2.1 核心思路拆解定位与提取首先我们需要在目标网页中找到PerimeterX的脚本。它可能被动态加载也可能内联在HTML中。我们的首要任务是获取到这份原始的、混淆后的JS代码。解混淆与可读化拿到代码后面对的可能是一堆变量名被替换成_0x1a2b3c、字符串被编码、控制流被扁平化或混淆的“天书”。这一步的目标是运用各种工具和技巧将代码还原到人类可以勉强阅读和分析的程度。关键逻辑定位在可读的代码中我们需要找到生成网络请求特别是包含payload和pc的请求的代码位置。这通常可以通过搜索特定的URL路径如/api/v2/collector、关键字如sendBeacon,fetch,XMLHttpRequest或独特的参数名来实现。算法分析与扣取定位到关键函数后我们需要深入分析其算法。payload是如何组装的包含了哪些数据这些数据是如何收集和加工的加密算法是什么pc又是如何根据payload和密钥计算出来的这一步是最考验耐心和技术的。代码重构与验证将分析清楚的算法逻辑用清晰的代码如Python或Node.js“扣”出来形成一个独立的、可以运行的模块。最后用这个模块模拟生成参数并与真实浏览器环境生成的结果进行对比验证确保完全一致。2.2 工具链准备工欲善其事必先利其器。以下是逆向分析PX3的推荐工具链浏览器开发者工具Chrome DevTools 或 Firefox Developer Tools。这是我们的主战场。特别是Sources面板用于查看和调试JSNetwork面板用于监控所有网络请求过滤px相关请求至关重要Console面板用于执行代码片段进行探测。代码美化与初步解混淆工具浏览器内置美化DevTools 中点击{}按钮可以美化压缩的代码这是第一步。AST抽象语法树解析库对于复杂的混淆如控制流扁平化、字符串数组化需要更强大的工具。babel、esprima等库可以用于解析和转换JS代码的AST。网络上也有一些开源的反混淆工具如de4js的在线版本或某些Chrome插件它们通常基于AST实现可以自动还原变量名、解析字符串数组、简化控制流。动态调试与追踪工具断点Breakpoint在疑似关键函数或网络请求发送处打上断点是跟踪程序执行流的根本方法。日志注入Console Logging在混淆代码中可以通过重写console.log或直接在关键函数入口插入调试语句来输出中间变量值这是理解数据流的神器。Hook技术通过重写浏览器原生API如Date.now,Math.random,CanvasRenderingContext2D.prototype.getImageData以及XMLHttpRequest.prototype.send和fetch可以拦截和修改这些函数的输入输出常用于对抗环境检测和追踪参数生成过程。脚本编写与环境分析清楚后我们需要用Node.js或Python来重构算法。Node.js的优势在于与JS原生兼容可以直接执行一些解密函数Python则在数据处理和集成到爬虫框架中更为方便。常用库包括requests、execjs用于在Python中运行JS代码、Crypto用于加解密操作等。实操心得在开始真正的逆向之前花点时间用浏览器的Network面板清晰地记录下一个“正常”的真人浏览会话中PX3脚本加载了哪些资源发送了哪些请求特别是collector请求请求体里到底有哪些字段。这个“基准线”对于后续验证你扣出来的代码是否正确具有黄金般的参考价值。3. 核心步骤一定位、提取与初步解混淆现在让我们进入实战环节。假设我们目标网站是example.com。3.1 定位PX3脚本打开Chrome DevTools进入Network面板勾选Preserve log。访问example.com在Network的筛选栏输入px或perimeter。你应该能看到一个或多个以_px3或_px2开头的JS文件被加载其域名通常是client.perimeterx.net或类似。这就是我们的目标脚本。点击这个请求在Response标签页中你可以看到完整的、混淆后的源代码。将其全选复制保存为一个本地文件例如px3_obfuscated.js。3.2 初步代码美化用文本编辑器打开这个文件内容可能是一行长达数万字符的压缩代码。我们可以先用在线JS美化工具或IDE的格式化功能让它变得有结构。但美化后的代码变量名依然是_0x1a2b3c这种无意义的字符函数逻辑也可能被“控制流扁平化”混淆即用一个大switch-case或while循环来分散原本线性的代码逻辑。3.3 应对常见混淆技术PerimeterX这类商业脚本会使用多种混淆技术标识符混淆变量、函数名被替换为短的无意义字符串。这除了让代码难读不影响逻辑。我们暂时不需要处理在分析时关注其赋值和引用关系即可。字符串常量混淆字符串被编码如Base64、Hex或拆散存放在一个数组中通过函数调用进行拼接。例如你可能会看到_0x123456(0x1f4)这样的调用_0x123456是一个函数它从一个全局字符串数组里根据索引0x1f4取出字符串。解混淆的关键之一就是还原这个字符串数组。我们可以写一个小脚本或者利用AST工具将这个数组的内容提取并替换回原处。控制流平坦化这是最棘手的部分。它将原本顺序执行的代码块打乱放入一个switch语句的不同case中由一个“分发器”变量来决定下一个执行哪个块。这极大地增加了人工跟踪执行路径的难度。对付它需要AST工具进行“控制流还原”或者更实用的方法是动态调试通过断点跟踪观察“分发器”变量的变化从而理清真实的执行顺序。注意事项不要试图一次性完全还原所有混淆。我们的目标是找到生成payload和pc的核心函数。因此可以先进行“部分解混淆”。例如先定位到那个巨大的字符串数组将其内容解码并打印出来你可能会发现其中包含了很多关键的API路径、参数名和算法常量这能为我们后续的搜索提供巨大帮助。4. 核心步骤二动态调试与关键逻辑定位静态分析遇到瓶颈时动态调试是我们的“透视镜”。我们的目标是找到最终发起那个包含payload和pc的collector请求的代码。4.1 从网络请求回溯在DevTools的Network面板找到那个发送给.../api/v2/collector的POST请求。点击它查看Initiator列。这里会显示是哪个JS文件、哪一行代码发起了这个请求。点击这个链接可以直接跳转到Sources面板的对应代码行。跳转过去后你很可能身处一个极度混淆的函数内部。没关系立即在这一行打上断点。4.2 断点调试与调用栈分析刷新页面脚本会在你的断点处暂停。此时查看Call Stack调用栈面板。这里显示了从页面加载开始到当前断点处所有被调用的函数链条。调用栈的底部通常是事件触发器越往上越接近我们关心的业务逻辑。在调用栈中从上往下从最近的调用开始逐个点击查看。寻找那些看起来不像浏览器原生API、且可能包含参数组装或加密逻辑的函数。当你看到一个函数内部出现了大量关于navigator、screen、plugins等浏览器属性收集或者出现了JSON.stringify、btoa、encrypt等字样时你就接近核心了。4.3 Hook关键函数进行追踪有时候调用栈很深或者代码被混淆得难以直接跟踪。我们可以使用“Hook”技术来辅助。例如我们可以HookXMLHttpRequest.prototype.send和fetch方法这样任何由它们发起的请求都会被我们拦截并能打印出请求的URL和请求体。// 在Console中执行这段代码用于Hook网络请求 (function() { var originalSend XMLHttpRequest.prototype.send; XMLHttpRequest.prototype.send function(body) { console.trace(XHR.send called!, this._url || this.url, body); // 这里可以检查URL是否包含‘collector’如果是则详细记录 if ((this._url || this.url).includes(collector)) { console.log(Found PX Collector Request Body: , body); debugger; // 自动触发断点方便分析 } return originalSend.apply(this, arguments); }; var originalFetch window.fetch; window.fetch function(input, init) { console.trace(fetch called!, input, init); if (input.includes(collector)) { console.log(Found PX Collector Fetch: , init?.body); debugger; } return originalFetch.apply(this, arguments); }; })();执行这段代码后刷新页面当PX3脚本尝试发送收集请求时控制台会打印出详细信息并且debugger语句会自动中断执行此时你再查看调用栈和当前作用域的变量就更容易定位到生成请求体的函数。通过以上方法我们最终的目标是定位到一个函数它接收一个包含浏览器指纹数据的对象然后对其进行处理输出一个可能是加密后的、待发送的payload字符串并同时计算出一个pc值。5. 核心步骤三算法分析与参数扣取假设我们通过动态调试终于找到了核心函数它可能被命名为类似buildPayload、encryptData或就是一个匿名的function(e)。现在进入最精细的环节理解它每一步在做什么。5.1 分解payload生成流程数据收集分析函数开头它从哪些全局对象或自身作用域中收集数据常见的收集项包括navigator.userAgent, navigator.platform, navigator.languagescreen.width, screen.height, screen.colorDepthwindow.location的各种属性document相关属性如document.referrerperformance.timing数据Canvas、WebGL 指纹通过调用相关API生成哈希字体列表本地存储、Session存储的特定键值鼠标移动、点击事件的监听情况 你需要记录下所有这些被收集的数据项和它们的取值。数据组装与序列化收集到的数据会被组装成一个大的JavaScript对象。然后这个对象会被序列化。序列化方式可能是JSON.stringify但更常见的是为了压缩和混淆使用自定义的序列化方式比如将对象转换成特定格式的数组或字符串。仔细跟踪这一步的转换逻辑。加密与编码序列化后的字符串或Buffer会进入加密环节。PerimeterX可能使用AES、DES或自定义的XOR流加密。你需要找到加密密钥可能硬编码在代码中也可能由服务器动态下发一部分和加密模式如CBC。加密后结果通常会再进行一次Base64编码形成最终的payload字符串。你的任务就是完全复现这个加密过程。这可能涉及在代码中找到加密算法的JS实现或者识别出使用的是浏览器的原生Crypto.subtleAPI。5.2 解析pc参数生成pc参数通常是一个校验码用于防止payload被篡改。它的生成算法可能包括HMAC使用一个密钥对payload或payload的某部分进行HMAC计算如HMAC-SHA256然后取结果的部分字节进行Hex或Base64编码。自定义哈希将payload、一个盐值salt和可能的时间戳拼接后进行多次自定义的哈希运算。直接作为加密过程的一部分输出例如某些加密模式的认证标签。你需要像跟踪payload一样跟踪生成pc的那行代码理清它的输入依赖哪些变量和计算过程。5.3 “扣代码”实战技巧“扣代码”不是简单地把找到的JS函数复制出来。因为混淆后的代码依赖大量上下文全局变量、其他辅助函数。你需要依赖分析在调试器中当执行到核心函数时记录下它所有引用到的、不在本函数内定义的变量和函数。这些就是它的依赖。逐层回溯对于每个依赖的函数重复步骤1直到追溯到不再依赖其他混淆函数的原生JS API或一些简单的常量为止。这个过程像剥洋葱。构建独立环境将核心函数以及所有它依赖的必要函数和常量一起复制到一个新的JS文件中。你需要模拟原代码的运行环境比如提供一些浏览器特有的全局对象window,navigator,document的模拟版本但只实现被用到的属性和方法。对于Canvas指纹等复杂操作在Node.js环境中可能需要用node-canvas库来模拟。替换加密库如果原代码使用了浏览器的Crypto.subtle在Node.js中可以用crypto模块来替代在Python中可以用cryptography或pycryptodome库。关键是确保算法、密钥、初始向量IV、填充模式等完全一致。实操心得这是一个极其需要耐心和细致的过程。一个字符的错误都可能导致最终结果对不上。建议使用“差分调试法”在浏览器真实环境中在核心函数入口和出口用console.log记录下输入和输出。然后在你扣出来的代码的相同位置也打印日志。对比两者的差异从第一个出现差异的地方开始排查是数据收集不一致序列化顺序错了还是加密密钥不对6. 常见问题与排查技巧实录即使按照步骤操作你也一定会遇到各种坑。下面是我在多次逆向中总结的一些典型问题及解决思路。6.1 问题动态加载的代码断点打不上现象在Sources面板找到的代码文件打上断点后刷新页面断点自动消失了变成空心圆或者根本不停住。原因PX3脚本可能是通过eval、Function构造函数或者动态创建script标签加载的每次加载的代码内容可能略有不同如包含一次性令牌导致源映射失效。解决方案使用“Event Listener Breakpoints”。在Sources面板的右侧展开 “Event Listener Breakpoints”勾选“Script” - “Script First Statement”。这样当任何新的脚本块开始执行时调试器都会自动暂停你就能在它执行之初打上断点。使用“XHR/fetch Breakpoints”。在Network面板可以右键请求URL选择 “Breakpoint” - “Add XHR/fetch breakpoint”。这样当有这个URL的请求发起时会自动在发起请求的代码处中断非常精准。6.2 问题加密结果总是和浏览器生成的对不上现象所有步骤似乎都正确但最终生成的payload字符串或pc值与浏览器生成的总有几位不同。排查思路输入一致性确保你扣的代码收集的浏览器指纹数据与真实浏览器环境完全一致。时间戳、随机数、计数器等动态值需要同步。在调试时将浏览器环境中收集到的原始数据对象直接作为你扣出代码的输入先排除数据源差异。算法细节加密算法是AES-128-CBC还是AES-256-GCM填充是PKCS#7还是ZeroPadding初始向量IV是固定的还是动态生成的密钥是完整的还是分段的这些细节必须百分百匹配。仔细对照混淆代码中的常量、函数调用顺序。编码问题加密操作是针对字节ArrayBuffer/Uint8Array进行的。检查在序列化后、加密前字符串到字节的转换编码是UTF-8还是Latin-1加密后字节到Base64字符串的编码是否有额外的处理如去除填充依赖函数行为差异你扣出来的某个辅助函数其行为可能与原环境有细微差别。例如一个处理数组循环的函数边界条件可能没考虑周全。用浏览器的Console对每个依赖函数用多种测试用例验证其输出是否与原函数一致。6.3 问题代码依赖了难以模拟的浏览器特性现象核心函数依赖CanvasRenderingContext2D.prototype.getImageData来生成指纹这在Node.js环境中无法直接运行。解决方案环境模拟在Node.js中使用node-canvas库可以模拟大部分Canvas 2D API。你需要安装该库并确保其版本和实现与浏览器端尽可能接近。结果注入如果只是为了生成参数而指纹在一定时间内相对稳定可以采用更简单的方法在浏览器环境中先运行一次完整的脚本将计算出的中间结果如Canvas指纹的哈希值记录下来。然后在你扣出的代码中直接硬编码这个结果绕过复杂的模拟计算过程。但这会降低代码的长期通用性。分离计算将指纹计算这部分单独剥离依然在一个“无头浏览器”环境如Puppeteer中执行只将最终参数生成逻辑扣出来。形成“Puppeteer负责收集指纹 - 传递给扣出的逻辑模块生成参数”的流水线。6.4 问题脚本有反调试机制现象一打开开发者工具脚本就停止运行或者页面行为异常。常见反调试手段检测DevTools通过检查window.outerHeight与window.innerHeight的差值或者console.log函数的toString结果来判断开发者工具是否打开。调试器语句在代码中插入debugger;语句如果调试器开启则会不断中断。应对策略禁用断点在Sources面板点击 “Deactivate breakpoints” 暂停图标变为灰色可以禁用所有断点绕过debugger;语句的干扰。重写检测函数在脚本加载前通过油猴脚本Tampermonkey或直接在Console中执行代码重写那些用于检测的函数使其永远返回false。例如Object.defineProperty(window, outerHeight, {get: () window.innerHeight}); // 或者直接重写 console 对象的某些方法 console.log function(){};使用无头浏览器对于反调试非常严格的网站可以考虑使用Puppeteer或Selenium等无头浏览器进行自动化分析它们可以通过启动参数禁用调试检测。逆向分析PerimeterX PX3是一个系统工程它考验的不仅是JavaScript和加密学知识更是耐心、细心和系统化的调试能力。每一次成功的逆向都像完成一次精密的解密游戏能让你对Web安全前端防护的理解深入骨髓。记住过程比结果更重要在这个过程中积累的调试技巧和反混淆经验将成为你应对未来更复杂挑战的宝贵财富。
)
![[C++]内存管理：串顺序存储的内存回收](http://pic.xiahunao.cn/yaotu/[C++]内存管理：串顺序存储的内存回收)
