我和xhs的恩怨情仇之第二篇

先说下为啥发文，主要是记录下逆向小程序端xhs的过程。上一篇主要是我与Web端xhs之间的相爱相杀过程，直到Web端彻底抛弃了我，居然不返回用户和笔记的表现数据了，既然如此，那就移步小程序端xhs吧！！！

上干货

一、抓包小程序

1、这里没啥好说的，用的charles，上张图大家看看

用户信息接口
2、就以用户信息接口为例，到postman分析下
postman
我们看到要发送一次成功的请求一定要有Authorization，User-Agent，X-sign这三者，它们分别控制登录状态，请求来源，验证这三项，我们再多分析几个用户信息接口，就会发现除了X-sign的其他项可以直接使用
3、如web端一样，要分析某个加密参数如何生成，我们一定要有代码调试，不管是混淆的还是没有混淆的代码

二、获取小程序源码

这一步网上教程很多就不详细写了，放一篇我觉得写的不错的
知乎-Kantle-微信小程序源码抓取及反编译

xhs的wxapkg
反编译
到这里源码就拿到了，接下来分析X-sign是如何生成的

三、分析X-sign

1、第一次搜索：x-sign

第一次搜索：x-sign
只有一条命中，看一下
大致猜测下函数的返回值，encryptFeApiToken这个函数很有可能是生成X-sign的
2、第二次搜索：encryptFeApiToken
第二次搜索：encryptFeApiToken
四条记录，前两条在本文件中忽视，第三条跟进去看一下函数名是验证authorization的也不是，第四条点进去是和请求相关的
headers添加了一个'X-sign'的key，并且赋值
至此，我们的目标已经明确，生成X-sign的函数也没有进行加密

四、反爬措施----滑动验证码

这一步没啥难度，看过我上篇文章或者成功怼过web端的都能破解，加密逻辑完全一致
处理反爬

五、总结

  1. 该项目仅供学习参考, 请勿用作非法用途! 如若涉及侵权, 416828817@qq.com/18355094977@163.com, 收到必删除!!!
最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
平台声明：文章内容（如有图片或视频亦包括在内）由作者上传并发布，文章内容仅代表作者本人观点，简书系信息发布平台，仅提供信息存储服务。

推荐阅读更多精彩内容