【逆向百例】某电商数据分析平台响应数据解密逆向分析

本文记录了对某电商数据分析平台 API 响应加密机制的完整逆向过程涵盖抓包侦察、参数验证、解密定位、算法识别与本地还原。该加密方案采用AES-ECB PKCS7 gzip的组合模式密钥通过多层 toString(36) 编码混淆属于典型的前端响应加密防护适合作为响应解密类逆向的入门案例。一、目标概况项目说明目标平台某电商数据分析平台页面入口aHR0cHM6Ly93d3cuY2hhbm1hbWEuY29tL3Byb21vdGlvblJhbmsv数据接口aHR0cHM6Ly9hcGktc2VydmljZS5jaGFubWFtYS5jb20vdjYvcHJvZHVjdC9zZWFyY2g鉴权方式请求头固定参数x-client-hash/x-client-id/x-encrypt-version/x-platform-id加密方式响应体加密AES-ECB PKCS7 解密 → WordArray 转 Uint8Array → gzip 解压 → JSON分析日期2026.07.29URL 采用 Base64 编码脱敏解码后可得原始地址。逆向目标还原接口响应中密文数据的解密逻辑使本地可正常获取明文数据。二、抓包侦察2.1 捕获目标请求打开浏览器 DevTools → Network 面板通过翻页操作触发列表数据请求定位到search接口。请求头关键部分x-client-hash: 固定哈希值 x-client-id: 固定ID x-client-version: 1 x-encrypt-version: 2 x-platform-id: 10000请求体明文 JSON{multi_category_id:-1,keyword:,page:2,size:50,sort:duration_volume,day_type:1,platform:平台标识,order_by:desc}响应体密文状态码 2002.2 初步判断通过观察请求体与响应体可以得出两个关键结论数据层存在加密响应体为密文信息需逆向解密方法才能获取明文数据请求层无动态鉴权请求头中的参数均为固定值无需逆向生成逻辑2.3 参数固定性验证拦截多页请求对比各参数变化情况参数多次请求对比结论x-client-hash始终相同固定值硬编码在代码中x-client-id始终相同固定值x-encrypt-version始终相同固定值x-platform-id始终相同固定值结论请求头参数均为固定值无需逆向生成逻辑。核心逆向目标为响应体解密。三、解密定位3.1 Hook 定位在 DevTools Sources 面板中注入 Hook 脚本拦截JSON.parse方法的调用定位解密入口Hook 触发后出现明文信息根据堆栈调用信息向上追溯找到解密方法的调用位置。3.2 断点验证在解密方法处设置断点观察变量值此时可以清晰看到完整的解密链路密文 e → AES 解密 → WordArray a → u(a) 转换 → Uint8Array o → ungzip 解压 → 明文 r → JSON.parse四、解密逻辑分析4.1 源码还原从断点位置提取的关键代码如下// AES 密钥推导ns.enc.Utf8.parse(27..toString(36).toLowerCase().split().map(function(t){returnString.fromCharCode(t.charCodeAt()-39);}).join()24901..toString(36).toLowerCase()33..toString(36).toLowerCase().split().map(function(t){returnString.fromCharCode(t.charCodeAt()-39);}).join()976..toString(36).toLowerCase()20..toString(36).toLowerCase().split().map(function(t){returnString.fromCharCode(t.charCodeAt()-39);}).join()(function(){vartArray.prototype.slice.call(arguments),et.shift();returnt.reverse().map(function(t,n){returnString.fromCharCode(t-e-24-n);}).join();})(10,127,154,91,151,91,136)11..toString(36).toLowerCase()13..toString(36).toLowerCase().split().map(function(t){returnString.fromCharCode(t.charCodeAt()-13);}).join());// AES-ECB 解密as.AES.decrypt(e,n,{mode:s.mode.ECB,padding:s.pad.Pkcs7});// WordArray → Uint8Arrayou(a);// gzip 解压rc.ungzip(o,{to:string});// JSON 解析returnJSON.parse(r);4.2 逻辑拆解将上述代码逐步拆解解密流程如下┌─────────────────────────────────────────────────────────┐ │ Step 1: 推导 AES 密钥 │ │ key 多层 toString(36) 编码 charCode 偏移拼接 │ │ 最终结果: 16字节字符串 (AES-128) │ ├─────────────────────────────────────────────────────────┤ │ Step 2: AES-ECB 解密 │ │ plaintext AES.decrypt(ciphertext, key, { │ │ mode: ECB, padding: PKCS7 │ │ }) │ │ // 输出为 CryptoJS WordArray 对象 │ ├─────────────────────────────────────────────────────────┤ │ Step 3: WordArray → Uint8Array │ │ bytes u(wordArray) │ │ // 逐字提取 4 字节按大端序拆分 │ ├─────────────────────────────────────────────────────────┤ │ Step 4: gzip 解压 │ │ jsonStr pako.ungzip(bytes, { to: string }) │ ├─────────────────────────────────────────────────────────┤ │ Step 5: JSON 解析 │ │ data JSON.parse(jsonStr) │ └─────────────────────────────────────────────────────────┘4.3 子函数验证密钥推导将混淆代码在 Node.js 中执行得到 AES 密钥为 16 字节字符串对应 AES-128。u 方法WordArray → Uint8Array 转换functionu(t){vare,n,it.words.length,anewUint8Array(t.sigBytes),o0;for(n0;ni;n)et.words[n],a[o]e24,a[o]e16255,a[o]e8255,a[o]255e;returna;}该函数将 CryptoJS 的 WordArray32 位整数数组按大端序逐字节拆分为 Uint8Array属于标准转换操作。AES 解密验证使用推导出的密钥对密文进行 AES-ECB PKCS7 解密解密后的数据经u方法转换后为 gzip 压缩的二进制数据符合预期。gzip 解压验证使用pako库对解密后的 Uint8Array 进行解压得到明文 JSON 字符串与浏览器中观察到的明文数据完全一致。五、本地还原5.1 Node.js 实现constCryptoJSrequire(crypto-js);constpakorequire(pako);functionu(t){vare,n,it.words.length,anewUint8Array(t.sigBytes),o0;for(n0;ni;n)et.words[n],a[o]e24,a[o]e16255,a[o]e8255,a[o]255e;returna;}functiondecryptResponse(ciphertext){constkeyCryptoJS.enc.Utf8.parse(推导出的AES密钥);constdecryptedCryptoJS.AES.decrypt(ciphertext,key,{mode:CryptoJS.mode.ECB,padding:CryptoJS.pad.Pkcs7});constbytesu(decrypted);constjsonStrpako.ungzip(bytes,{to:string});returnJSON.parse(jsonStr);}constciphertext...;// 接口返回的密文console.log(decryptResponse(ciphertext));5.2 Python 实现fromCrypto.CipherimportAESfromCrypto.Util.Paddingimportunpadimportgzipimportjsonimportbase64defdecrypt_response(ciphertext_b64):keyb推导出的AES密钥ciphertextbase64.b64decode(ciphertext_b64)cipherAES.new(key,AES.MODE_ECB)plaintextunpad(cipher.decrypt(ciphertext),AES.block_size)json_strgzip.decompress(plaintext).decode(utf-8)returnjson.loads(json_str)ciphertext...# 接口返回的密文Base64编码print(decrypt_response(ciphertext))5.3 验证结果通过本地还原的解密方法能够正常解密接口返回的密文信息得到明文数据六、总结加密方案特征维度分析算法类型标准 AES-128-ECB PKCS7无魔改配合 gzip 压缩密钥来源前端 JS 中通过 toString(36) charCode 偏移多层混淆但可本地执行还原防护强度较低——密钥推导逻辑硬编码在前端ECB 模式无 IV算法均为标准实现压缩层gzip 压缩服务端加密前压缩客户端解密后解压请求鉴权无动态鉴权参数请求头均为固定值逆向思路回顾抓包侦察 → 参数验证固定性→ Hook JSON.parse 定位 → 断点确认解密链路 → 源码提取 → 密钥推导还原 → 子函数验证u方法/ungzip→ 本地还原 → 一致性验证本案例属于前端响应加密的入门级难度核心难点在于定位解密入口和还原混淆的密钥推导逻辑。解密链路清晰AES → WordArray转换 → gzip解压 → JSON算法均为标准实现还原过程非常直接。免责声明本文仅用于技术学习与研究目的请勿将相关技术用于非法用途。数据采集行为应遵守《网络安全法》等相关法律法规尊重网站的服务条款和 robots.txt 协议。