JS逆向---国标哈希算法(MD5,SHA系列,HMAC加密以及相关案例详解)

这篇具有很好参考价值的文章主要介绍了JS逆向---国标哈希算法(MD5,SHA系列,HMAC加密以及相关案例详解)。希望对大家有所帮助。如果存在错误或未考虑完全的地方,请大家不吝赐教,您也可以点击"举报违法"按钮提交疑问。


前言

在 JavaScript 中和 Python中的基本实现方法,遇到 JS 加密的时候可以快速还原加密过程,有的网站在加密的过程中可能还经过了其他处理,但是大致的方法是一样的。

本篇文章主要讲述内容:消息摘要算法/安全哈希算法/散列消息认证码、密钥相关的哈希运算消息认证码:MD5、SHA、HMAC

声明
本文章中所有内容仅供学习交流使用,不用于其他任何目的,不提供完整代码,抓包内容、敏感网址、数据接口等均已做脱敏处理,严禁用于商业用途和非法用途,否则由此产生的一切后果均与作者无关!
本文章未经许可禁止转载,禁止任何修改后二次传播,擅自使用本文讲解的技术而导致的任何意外,作者均不负责,若有侵权,请联系作者立即删除

一. MD5算法

  • 简介:全称MD5 消息摘要算法,又称哈希算法、散列算法,由美国密码学家罗纳德·李维斯特设计,于 1992 年作为 RFC 1321 被公布,用以取代 MD4 算法。摘要算法是单向加密的,也就是说明文通过摘要算法加密之后,是不能解密的。摘要算法的第二个特点密文是固定长度的,它通过一个函数,把任意长度的数据转换为一个长度固定的数据串(通常用16进制的字符串表示)。之所以叫摘要算法,它的算法就是提取明文重要的特征。所以,两个不同的明文,使用了摘要算法之后,有可能他们的密文是一样的,不过这个概率非常的低。

1.1 Javascript实现

  • 安装对应的模块
// 在依赖项中添加包: --save
npm install crypto-js  --save
  • 使用案例
// 引用 crypto-js 加密模块
var CryptoJS = require('crypto-js')

function MD5Test() {
    var text = "I love python!"
    return CryptoJS.MD5(text).toString()
}

console.log(MD5Test()) 

2. python实现

import hashlib

def md5_test2():
    md5 = hashlib.md5()
    md5.update('python'.encode('utf-8'))
    print(md5.hexdigest())

if __name__ == '__main__':
    md5_test2() 

3. MD5特征

总结
MD5特征:

  1. 明文相同的情况下,明文也是相同的
  2. 长度为32位,大小为128b,16字节(固定)
  3. 单向加密,不可逆
  4. 如何对网站JS文件中判断该算法加密是否为标准加密?
    • 拿固定参数,去对比标准算法结果

二. SHA系列算法

  • 简介:全称安全哈希算法,由美国国家安全局(NSA)所设计,主要适用于数字签名标准里面定义的数字签名算法,SHA 通常指 SHA 家族的五个算法,分别是SHA-1、SHA-224、SHA-256、SHA-384、SHA-512,SHA 是比 MD5 更安全一点的摘要算法,MD5 的密文是 32 位,而 SHA-1 是 40 位,版本越强,密文越长,代价是速度越慢。

1. Javascript实现

// 引用 crypto-js 加密模块
var CryptoJS = require('crypto-js')

function SHA1Encrypt() {
    var text = "I love python!"
    return CryptoJS.SHA1(text).toString();
}

console.log(SHA1Encrypt()) 

2. Python 实现

import hashlib

def sha1_test2():
    sha1 = hashlib.sha1()
    sha1.update('I love python!'.encode('utf-8'))
    prinACt(sha1.hexdigest())

if __name__ == '__main__':
    sha1_test2() 

3. sha系列特征

总结
sha系列特征:

  • 属于数字签名算法
  • sha1长度:40位
    sha224长度:56位
    sha256长度:64位
    sha512长度:128位
  • 根据长度进行定位、主要还是要去JavaScript里面下断点调试分析

三. HMAC加密算法

  • 简介:全称散列消息认证码、密钥相关的哈希运算消息认证码,于 1996 年提出,1997 年作为 RFC 2104 被公布,HMAC 加密算法是一种安全的基于加密 Hash 函数和共享密钥的消息认证协议,它要求通信双方共享密钥 key、约定算法、对报文进行 Hash 运算,形成固定长度的认证码。通信双方通过认证码的校验来确定报文的合法性。

参考资料:

  • 百科:https://baike.baidu.com/item/hmac/7307543?fr=aladdin

1. JavaScript 实现

// 引用 crypto-js 加密模块
var CryptoJS = require('crypto-js')

function HMACEncrypt() {
    var text = "I love python!"
    var key = "secret"   // 密钥文件
    return CryptoJS.HmacMD5(text, key).toString();
    // return CryptoJS.HmacSHA1(text, key).toString();
    // return CryptoJS.HmacSHA256(text, key).toString();
}
console.log(HMACEncrypt())

2. python实现

import hmac

def hmac_test1():
    message = 'I love python!'.encode()
    key = b'secret'
    md5 = hmac.new(key, message, digestmod='MD5')
    print(md5.hexdigest())

def hmac_test2():
    key = 'secret'.encode('utf8')
    sha1 = hmac.new(key, digestmod='sha1')
    sha1.update('I love '.encode('utf8'))
    sha1.update('Python!'.encode('utf8'))
    print(sha1.hexdigest())

if __name__ == '__main__':
    hmac_test1()  # 9c503a1f852edcc3526ea56976c38edf
    hmac_test2()  # 2d8449a4292d4bbeed99ce9ea570880d6e19b61a

3. HMAC特征

总结

  • HMAC的基本思想是复用MD5与SHA-1之类现有的消息摘要算法
  • 具有密钥文件,使用的是对称密钥加密

四. 案例分析

1. 案例sha系列分析

  • 逆向目标:红人点集
  • 逆向主要参数:sign:

通过对比,可以发现这个参数每次都会切换
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python
对加密地点进行调试
可以选择全局进行变量搜索sign关键字
或者直接进行跟栈
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python
获取到了参数加密地点
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python
对参数加密地点进行分析
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python
明确该参数为sha256加密方式
对该参数进行代码实现

import urllib3,requests,time,json
urllib3.disable_warnings()
import hashlib

months = input("请输入查询月份:")
days = input("请输入查询日期,2天以内:")
times = str(int(time.time()) * 1000)
params = {"no":"dy0002","data":{"days":1,"rankType":5,"liveDay":f"2023-{months.zfill(2)}-{days.zfill(2)}"}}
print(params)
dd = json.dumps(params)
def get_sign():
    data = f'param={dd}&timestamp={times}&tenant=1&salt=kbn%&)@<?FGkfs8sdf4Vg1*+;`kf5ndl$'  # 要进行加密的数据
    data_sha = hashlib.sha256(data.encode('utf-8')).hexdigest()
    return data_sha

def get_data():
    headers = {
        "Content-Type": "application/json;charset=UTF-8",
        "Host": "ucp.hrdjyun.com:60359",
        "Origin": "http://www.hh1024.com",
        "Pragma": "no-cache",
        "sec-ch-ua": "\"Google Chrome\";v=\"107\", \"Chromium\";v=\"107\", \"Not=A?Brand\";v=\"24\"",
        "sec-ch-ua-mobile": "?0",
        "sec-ch-ua-platform": "\"Windows\"",
        "Sec-Fetch-Dest": "empty",
        "Sec-Fetch-Mode": "cors",
        "Sec-Fetch-Site": "cross-site",
        "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.36"
    }
    session = requests.session()
    s = get_sign()
    t = "这里面是登陆后的token值"
    datas = {"param":dd,"sign":s,"tenant":"1","timestamp":times,"token":t}
    url = 'https://ucp.hrdjyun.com:60359/api/dy'
    res = session.post(url,headers=headers,data=json.dumps(datas))
    if res.json().get('status') == 0:
        data = res.json().get('data')['rankList']
        for d in data:
            items = {}
            items['抖音名'] = d.get('anchorName')
            items['带货销量'] ='%.2f' % (d.get('salesVolume') / 10000) + '万'
            print(items)

if __name__ == '__main__':
    reads = """
        本接口只开放抖音带货销量日榜
        可以根据日期查询
                                --- 夏洛
        """
    print(reads)
    get_data()

最终代码实现效果
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python

2.案例Hamc系列

  • 逆向目标:企查查
  • 逆向参数:E6f8103c1332674be0f3:
    cc136a1acba0ee1caf94f66b637f2ed8fe40be90ad28dc22ba6b131e90815e2d350512c3685ca5b8f790f546d076d971a5f92af3e4de3b0a4c70b418e719aaa5
    头部参数

通过对比,可以发现这个参数每次都会切换
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python而且经过反复翻页对比发现,同一页的情况下,加密情况相同,密文长度为256位,证明很有可能是一种哈希算法,因为其长度,所以推测为sha512系列
直接进行头部参数的搜索headers[
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python
进行断点可以发现,这里面 i 就是key值, l 就是value,对这两个参数分析即可
先进行分析key值,进入a.default
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python
逻辑如下图
发现其中返回值为所求的key值
对这段代码继续进行逆向
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python
先分析(t + n, (0, a.default)(t))
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python
发现n就是我们需要的值
直接进行逻辑整理,转换成python代码即可
转头对o.default部分进行分析
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python
进入后发现是一个r()函数
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python
继续进入
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python
已经基本可以确定该参数的逆向算法为Hamcsha512系列,对标准网站算法进行对比,看看是不是标准算法,然后进行扣JS,再转换成python即可
最后操作结果
js 哈希加密解密,python爬虫逆向学习,javascript,哈希算法,爬虫,python

完成
后续value值,和key值的逆向过程和方法,基本雷同,这里就不多赘述了(其实是因为懒了)

写在最后:
本人写作水平有限,如有讲解不到位或者讲解错误的地方,还请各位大佬在评论区多多指教,共同进步.如有需要代码和讲解交流,可以加本人微信18847868809文章来源地址https://www.toymoban.com/news/detail-780346.html

到了这里,关于JS逆向---国标哈希算法(MD5,SHA系列,HMAC加密以及相关案例详解)的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处: 如若内容造成侵权/违法违规/事实不符,请点击违法举报进行投诉反馈,一经查实,立即删除!

领支付宝红包 赞助服务器费用

相关文章

  • C#集成数据加密算法,包含DES、RSA、Base64、SHA、MD5算法,轻松实现数据加密解密需求

    在需要使用配置文件的工控软件中,往往需要在配置文件和数据库中对一些数据加密,即对一串数据进行加密算法后输出复杂符号和字符的形式,让非相关人员无法识别原有数据,从而对数据或数据库进行相应的保护,这往往也是公司安全部门的基本要求。 网上写加密算法的

    2024年02月03日
    浏览(84)
  • 爬虫案例-使用Session登录指定网站(JS逆向AES-CBC加密+MD5加密)

    总体概览:使用Session登录该网站,其中包括对password参数进行js逆向破解                 (涉及加密:md5加密+AES-CBC加密) 难度:两颗星 目标网址:aHR0cHM6Ly93d3cuZnhiYW9nYW8uY29tLw== 下面文章将分为四个部分:         1、定位主体加密函数,进行断点         2、分

    2024年02月09日
    浏览(71)
  • Python hashlib 加密方法(MD5、SHA1、SHA256、SHA52)

    Python 提供了 hashlib 模块来进行加密操作。在下面的文章中,我们将介绍 hashlib 模块的常用加密算法。 hashlib 模块是 Python 中用于加密的标准库。它包含了所有常见的哈希函数,例如 SHA1、SHA224、SHA256、SHA384、SHA512、MD5 等。这些哈希函数都是单向的,即只能对信息进行加密,而

    2024年02月07日
    浏览(47)
  • 大文件 MD5 SHA 校验时间优化之路

    最近研发apk校验服务,很多游戏安装包两三个G,如果整个拿去校验,耗时基本二十多秒,这还仅仅是校验的时间,如果加上下载的时间,等待时间太长了 网上很多方案尝试了一下,不太行 1、fast md5 一个第三方库,csdn有人用过说可以提升40%的速度,然后我去试了一下,本来

    2024年02月09日
    浏览(50)
  • 前端密码加密 —— bcrypt、MD5、SHA-256、盐

     🐔 前期回顾 悄悄告诉你:前端如何获取本机IP,轻松一步开启网络探秘之旅_彩色之外的博客-CSDN博客 前端获取 本机 IP 教程 https://blog.csdn.net/m0_57904695/article/details/131855907?spm=1001.2014.3001.5501           在前端密码加密方案中,bcrypt与SHA-256都是常见的加密算法,它们各有优劣

    2024年02月05日
    浏览(54)
  • uniapp安卓签名证书生成,签名证书的SHA1,SHA256,MD5获取

    uniapp安卓证书生成有两种方式,一种是去dcloud开发者中心生成证书,另一种是安装jre环境,自己生成证书 第一种 dcloud生成证书 去该项目对应的应用处,生成证书需要等几分钟,生成后可以查看证书信息 第二种 自己生成 先安装jre,再配置一下环境变量 jre8下载地址 去D盘添加

    2024年02月16日
    浏览(64)
  • Android 应用签名证书的SHA1、MD5、SHA256值在哪获取?

    SHA1值分为发布版和调试版。MD5、SHA256与SHA1的获取是一样的。 调试版就是我们平时开发测试时用的默认签名文件。这个默认的签名文件一般是在c盘的用户名目录下的.android文件夹内。 默认文件就是  debug.keystore 获取调试版的SHA1值 : 回车后即可看到调试版的SHA1值了。

    2024年02月12日
    浏览(60)
  • Android创建签名文件,并获取签名文件MD5,SHA1,SHA256值

    一、创建Android签名文件         使用Android Studio开发工具,可视化窗口进行创建 第一步:点击AndroidStudio导航栏上的 Build→Generate Signed Bundle / APK 第二步:选择APK选项    第三步:创建签名文件 第四步:输入创建签名的文件的各内容信息 点击ok,即可完成签名的文件的创建

    2024年02月07日
    浏览(60)
  • 获取安卓签名文件的MD5值与SHA1码

    目录 前言 一、用命令行的方式仅能获取SH1、SHA256 ​编辑 二、用gradle的方式可以获取MD5值 1.打开Android Studio,点击右边的Gradle 2.点击大象,输入查询签名信息的命令 总结 公司App项目要备案,要搜集MD5值与SHA1码,用了以前的命令行方式只获取到SHA1,奇怪,网上学习了下,原来

    2024年02月16日
    浏览(56)
  • go生成文件md5、sha1摘要简单示例

    go官方文档 https://pkg.go.dev/crypto/md5 已经给出如何使用该package生成文件或者字节数组的摘要值, 参照即可。 摘要值 不是对文内容的加密,它主要用来进行checksum,就是验证两个文件内容是否一致,是否被篡改或者变化了。 “crypto/sha256” “crypto/md5” “crypto/sha1” 根据文档介

    2024年02月12日
    浏览(54)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包,优惠每天领

二维码1

领取红包

二维码2

领红包