解密某高校X博士洗浴加密请求

前言

很久没有适合的东西水（不是）一贴了，主要是价值都不大；说到水就想起了学校内的洗浴，名字叫什么XX博士。

用微信查看数据，还得每次点开，点登录，折腾半天才能看到自己还剩下多少钱——太麻烦了！在洗澡之前还得怕自己钱不够，
于是我琢磨着自己做个小机器人帮忙通知自己。于是之后就是愉快的（一波三折的）研究过程——

1.初期分析

首先由于对方是微信公众号-点击按钮-跳转页面，先考虑好可能需要的工具——root手机一台，小黄鸟(HttpCanary)抓包软件一只。抓包就不过多废话了，就是很正常的抓包，没有什么困难点。
对其抓包得到一个地址：https://app.kbscloud.com/h5/#/my/wallet/#/login
由于考虑到是公众号跳转的页面，合理怀疑这个页面也能用电脑打开，果不其然：

FWUMNHN_3AI1F6[EBY6Z8HU.png

示意图

看到诶有一个手机号或账号登录，我现在不在微信上，先试试看能不能把我的账号和手机绑定在一起，这样就不需要我在电脑上模拟微信环境了~
一番瞎折腾之后，绑定成功，如图所示：

[@E5L%QD@LQ5]F0[KI)6)(K.png

示意图2

正当我暗自窃喜 [只要抓包接口，给Python机器人就解决问题啦]的时候，现实给我泼了冷水：
请求有不认识的参数secstr！

QD8S9M%OPV6[LE_2_7P1M_9.png

示意图3

2.碰壁的尝试

根据所学不多的经验，很容易分析出来，token是登录之后给的；而secstr是一个不认识的变量。既然如此，首先先尝试一下“重放攻击”，把这个包原封不动的丢回去试试看，如果能直接使用，那就退而求其次嘛。
原封不动发了回去，果然能用，但是突然发现，这里面有一个参数叫timesp，显然是当前的时间。
如果我们假设这个secstr是和时间有关的，那么可能过一段时间，当前的参数就失效了——这可能性很大，毕竟，既然前端往后端传了时间，那么对发来的时间做判断是非常方便的。
为了我的小机器人运行更加稳定，看来还是得进行一些研究。
观察secstr，首先怀疑这玩意是不是什么md5“加密”，跑去网上找一个https://cmd5.com/password.aspx 解密网站，丢进去试一试。

3HBY]%UQTVPLC`JJQ0_@XNX.png

失败的尝试1

显然，无果。
之后又多次请求了这个接口，发现如下特点：请求的时间不同，secstr也不同。那么有没有可能secstr只是timesp的md5呢？抱着尝试的想法尝试了一下，发现没有任何关系。
到此事情似乎有些棘手，难道要用selenium作为我机器人的后端，靠模拟点击的方式……？

3.从代码入手

虽然前端代码完全不是我的强项，但现在也只能动手一试了。目前我们什么都不知道，但是我们知道secstr这个“特殊”的字符串，它一定在前端得有个赋值的地方。于是我们直接祭出F12，在搜索处搜索一下secstr:

`EH%SSJRDF38U}F`KLI}U}G.png

尝试F12

][0_5(40)U_R[DOY[L1OX4V.png

定位位置

点一下格式化，就能清楚的看到这里显然是secstr的赋值位置，它对应的是一个不认识的函数（原谅我前端基本没接触过）。接下来右键 - 切换到来源选项卡， 在这里下断点，刷新一下：

LH0YPK[AF~HOD6IPYHZF4CI.png

接下来点几次进入下一个函数调用，就能看到：

K6E26B6@K5%KQN{)[SFJU.png

虽然我还是看不懂代码但是那个大大的MD5我是看懂了，也就是说它是把一个很长的东西丢进去产生了一个MD5作为secstr。
那么这个长长的东西是什么呢，在里面看到了timesp和token，也就是说很大概率是用其他参数组合的？
想知道这个问题，只需要跳转回原本的函数看一看：

U@OKIM8%EPCT(U@T}BHX{H3.png

接下来对代码逐段分析一下：

首先我们可以看到

281 t.secstr() = L()(o);

n=T.a.state.user.salt