【JS逆向】知乎请求头 _x-zes-96 webpack还原

文章中所有内容仅供学习交流使用，不用于其他任何目的，抓包内容、敏感网址、数据接口均已做脱敏处理，严禁用于商业和非法用途，否则由此产生的一切后果与作者无关。若有侵权，请在公众号【爬虫逆向小林哥】联系作者

接口分析

直接搜索很快可以定位到加密位置，其中f()(s)就是个md5就不做分析了，此次主要解决的是F(r).encrypt

逆向过程

确认webpack文件，以及加载器

我们直接在console终端里面查看函数的跳转位置，很快可以判断出这个文件是webpack

F(r).encrypt

扣下整个wepack文件到本地

将整个webapack赋值到本地，删除参数数组以及函数体内和加载器无关的代码。并将参数传递改为对象传递的形式。注意观察函数体和浏览器的不同，尽可能删除自执行函数体内与加载器无关打代码。


!function(e) {var r = {}, i = {77: 0}, o = {77: 0}, a = [];function c(t) {if (r[t])return r[t].exports;var n = r[t] = {i: t,l: !1,exports: {}};return e[t].call(n.exports, n, n.exports, c),n.l = !0,n.exports}}(
);

定义全局变量导出加载器

// 定义全局变量zhihu导出加载器
var zhihu;!function(e) {var r = {}, i = {77: 0}, o = {77: 0}, a = [];function c(t) {if (r[t])return r[t].exports;var n = r[t] = {i: t,l: !1,exports: {}};return e[t].call(n.exports, n, n.exports, c),n.l = !0,n.exports}zhihu = c;
}(
);

确认加密函数用到的模块数组，并复制在本地调用

回到加密函数位置，查看对象F，可以看到encrypt = u.a，同样在往上找到u，主要用到了n这个对象，根据经验我们可以判断出这个n是加载器。

F(r).encrypt
encrypt: u.a,, c = n(420)
, u = n.n(c)

注意看前端加载器部分，传递给webpack对象的参数i被赋值给加载o.m了，我们可以在函数体内下上断点，来查看o.m[16] ，找到具体模块函数对象的位置。

在n处打上断点查看n的跳转位置。直接跳转到我们扣下来的加载器c了。猜想成功

这里需要注意，用到了数据模块420，以及加载器函数n.n，但是我们本地没有定义加载器.n的函数，需要补上去，去浏览器端复制下来。注意它依赖其它函数

, c = n(420), u = n.n(c)

另外把用到的n(420)数据模块补全到本地，直接在webpack函数体内通过加载器找到420.注意加载器一般都会把整个webpack参数e赋值给一个对象m，直接使用c.m[420]既可找到420模块数组函数。全部复制下来

加载器打印方法--补本地缺的函数模块以及环境

这里将420参数复制下来运行，发现没有报错看来是不依赖其它模块。

通过全局变量加载器调用加密函数

然后通过加密函数逻辑调用，发现出现一处错误。这里需要用window环境，我们补上在运行。

成功

源码：vx公众号【爬虫逆向小林哥】