1. 项目概述一场与无限debugger的攻防较量最近在复盘一些经典的Web逆向题目猿人学平台的第二题给我留下了挺深的印象。这道题的核心就是一场典型的“猫鼠游戏”网站为了保护其核心的token生成逻辑在前端设置了一个近乎“流氓”的无限debugger机制只要你打开开发者工具F12脚本就会不断地触发断点让你寸步难行。而我们的目标则是穿透这层防御逆向分析出最终提交请求中那个关键的token参数是如何生成的。这不仅仅是写几行Python脚本那么简单它考验的是你对浏览器调试工具、JavaScript运行机制以及反调试策略的深入理解。无论你是刚接触Web安全的新手还是想深化JS逆向技巧的开发者通过拆解这道题都能获得一套应对前端反调试的实战思路和工具链。2. 核心思路与工具准备绕过防御的几种姿势面对无限debugger硬着头皮在调试器里点“继续”是行不通的。我们需要从根本上理解它的原理并选择合适的工具和方法来“屏蔽”或“绕过”它。2.1 无限debugger的实现原理与常见类型无限debugger的实现方式通常有两种。第一种是最常见的在代码中直接插入debugger;语句并配合setInterval或递归函数循环执行。第二种则更为隐蔽通过重写Function.prototype.constructor或eval等函数在代码执行时动态注入debugger语句。猿人学第二题属于前者但理解后者有助于我们应对更复杂的场景。其核心代码结构往往类似这样setInterval(function(){ debugger; }, 100);或者使用while循环配合debugger。这种代码会以极高的频率如每100毫秒触发断点导致调试器界面不断弹出无法进行正常操作。2.2 浏览器开发者工具的“反反调试”功能现代浏览器的开发者工具本身就内置了一些对抗简单反调试的功能这是我们首先应该尝试的。条件断点/永不暂停于此在Chrome的Sources面板找到触发debugger的脚本行右键点击行号选择“Never pause here”。这相当于告诉调试器“我知道这里有个断点但请永远忽略它”。这是最直接、最有效的方法之一适用于debugger语句位置固定且明显的情况。禁用所有断点点击Sources面板右上角的“Deactivate breakpoints”按钮图标是一个蓝色的暂停符中间有条斜线。这会全局禁用所有断点包括debugger语句。但副作用是你也无法主动设置任何断点了适合在单纯需要查看网络请求或Console输出时使用。Overrides本地覆盖这是一个高级且强大的功能。在Sources面板的Overrides标签页选择一个本地文件夹作为覆盖目录。然后在Page中找到触发debugger的JS文件右键选择“Save for overrides”。这样浏览器会加载你本地副本。你可以在本地文件中直接删除或注释掉包含debugger;的代码行刷新页面后无限debugger就消失了。这种方法一劳永逸且可以任意修改代码进行分析。注意有些网站会检测开发者工具是否打开即使你禁用了断点也可能通过其他方式如检查console对象、window.outerHeight等触发页面跳转或死循环。这时需要结合其他方法。2.3 第三方调试工具与代理抓包当浏览器原生工具力有不逮时我们可以借助更专业的工具。Fiddler/Charles AutoResponder功能这两款代理工具可以拦截浏览器请求并用本地修改过的JS文件替换服务器返回的原始JS文件。你可以在Fiddler中设置规则将目标JS文件映射到本地一个已经删除了debugger代码的文件。这样浏览器加载的就是“干净”的脚本从根本上解决问题。使用Node.js环境执行对于一些逻辑相对独立、不严重依赖浏览器DOM环境的加密函数我们可以尝试将关键JS代码剥离出来在Node.js环境中运行和分析。这完全脱离了浏览器的调试环境自然也就避开了debugger。但这需要对代码有较强的理解和剥离能力。油猴脚本暴力拦截编写一个Tampermonkey脚本在页面加载早期运行通过重写Function构造函数或setInterval等方法提前“劫持”可能用于设置debugger的函数。例如// 这是一个简单的示例实际应用需更严谨 let oldSetInterval window.setInterval; window.setInterval function(a, b){ // 检查函数体是否包含‘debugger’ if(a.toString().indexOf(debugger) -1){ console.log(拦截了一个包含debugger的setInterval); return; // 直接不执行 } return oldSetInterval.apply(this, arguments); };3. 实战逆向定位与解析token生成逻辑成功绕过debugger的干扰后我们才真正进入了逆向分析的主战场。目标是找到那个在提交请求通常是/api/xxx时携带的token或sign参数的计算方法。3.1 网络请求分析与关键接口定位打开开发者工具的Network面板记得提前按上述方法处理好debugger清空记录然后触发页面的提交操作比如点击提交按钮。在纷繁的网络请求中我们需要找到那个携带了加密参数的核心接口。通常它具有以下特征请求方法多为POST。请求负载Payload或Form Data中包含token、sign、encryptData等看似随机的长字符串。响应内容返回一个JSON其中包含code、message、data等字段code为特定值如200时表示成功。找到这个接口后重点关注它的Headers看是否有其他动态参数和Initiator调用栈后者能指引我们找到发起这个请求的JavaScript代码。3.2 关键JavaScript代码的搜索与追踪在Sources面板中使用CtrlShiftF进行全局搜索。搜索关键词可以包括接口URL的一部分。请求参数名如token、sign。一些常见的加密库函数名如MD5、SHA、Base64、encrypt、CryptoJS、window.as等。从调用栈中看到的函数名。找到疑似生成token的代码段后开始静态分析。这里需要一些JavaScript功底关注以下几点参数拼接token通常由多个参数如时间戳t、随机数nonce、页面固定值等按特定顺序拼接而成。加密/哈希函数拼接后的字符串会经过某种加密或哈希运算常见的有MD5、SHA1、SHA256、AES、RSA或者自定义的位运算、混淆算法。外部依赖算法可能依赖window对象的某个属性、一个经过复杂计算得到的全局变量或者一个来自其他JS文件/接口的函数。3.3 使用Console进行动态调试与验证静态分析往往只能猜个大概动态调试才能最终确认。这时浏览器的Console面板就成了我们的“演算草稿纸”。打断点在疑似生成token的代码行设置断点。如果代码被压缩成一行可以点击左下角的{}Pretty Print美化代码。观察变量当断点触发时在Scope面板查看当前作用域内的所有变量值。重点关注参与拼接和计算的变量。在Console中复现将断点处看到的各个参数值记录下来然后在Console中尝试手动执行加密函数。例如如果你看到代码是token md5(s t nonce)你就在Console里计算md5(具体字符串 具体时间戳 具体随机数)看结果是否与网络请求中的token一致。函数重写与Hook对于难以直接调用的复杂函数或对象属性可以使用Hook技术。例如要监控window.crypto对象的调用let oldSign window.crypto.sign; window.crypto.sign function(...args){ console.log(crypto.sign被调用参数, args); let result oldSign.apply(this, args); console.log(计算结果, result); return result; }这样当页面代码调用sign方法时参数和结果都会打印在Console里。实操心得在Console中操作时一定要注意执行环境。有些函数或变量可能被封装在闭包中直接复制代码到Console可能报“未定义”错误。这时需要将相关函数定义也一起复制过来或者更优雅地在源代码上下文在Sources面板的代码行上右键选择“Evaluate in Console”中执行。4. 算法还原与Python代码实现通过动态调试我们已经完全掌握了token的生成算法。接下来就是将这个JavaScript算法“翻译”成Python实现自动化。4.1 识别加密库与寻找Python等效实现首先确认JS中使用的加密方式。标准算法如MD5、SHA256、HMAC、AES。这些在Python的hashlib、hmac、cryptography或pycryptodome库中有直接对应的实现。算法逻辑如填充模式、初始向量IV必须完全一致。自定义算法可能是各种字符串变换、位运算的组合。这就需要我们严格按照JS代码的逻辑用Python一步步实现。特别注意JS的位运算符,|,,等与Python的差异JS的是无符号右移Python需要特殊处理。第三方JS库如CryptoJS。这是一个非常常见的库。你需要找到该库在Python中的等效实现或者直接分析CryptoJS的源码将其核心算法用Python重写。更简单的方法是使用execjs或PyExecJS库直接在Python中调用一个JavaScript运行时如Node.js来执行这段JS代码但这会引入外部依赖。4.2 编写Python请求脚本的关键步骤假设我们分析出的算法是token MD5(固定前缀 时间戳 随机数).upper()。下面是一个完整的Python脚本示例import hashlib import time import random import requests def generate_token(): 模拟前端生成token的算法 prefix 猿人学 timestamp str(int(time.time() * 1000)) # 获取13位毫秒时间戳与JS的Date.now()一致 nonce str(random.randint(100000, 999999)) # 生成6位随机数 # 拼接字符串 sign_string prefix timestamp nonce # MD5哈希并转为大写 m hashlib.md5() m.update(sign_string.encode(utf-8)) token m.hexdigest().upper() return token, timestamp, nonce def main(): url https://目标网站/api/submit # 替换为实际接口 token, t, nonce generate_token() # 构造请求数据注意字段名需与抓包一致 data { page: 1, t: t, nonce: nonce, token: token, # ... 其他必要参数 } headers { User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36, Content-Type: application/x-www-form-urlencoded; charsetUTF-8, # 有时需要携带Cookie或其他认证头 } try: response requests.post(url, datadata, headersheaders, timeout10) response.raise_for_status() # 检查HTTP错误 result response.json() print(请求成功, result) except requests.exceptions.RequestException as e: print(请求失败, e) except ValueError: print(响应不是有效的JSON) if __name__ __main__: main()4.3 处理动态参数与环境依赖很多情况下算法不仅仅依赖我们看到的几个参数window对象属性JS代码可能读取window.navigator.userAgent、window.location.href甚至一个全局变量window._$。在Python中我们需要用相同的逻辑生成或模拟这些值。例如userAgent需要和爬虫脚本使用的保持一致。其他接口的返回值token生成可能依赖另一个前置接口返回的key或salt。这意味着你的Python脚本需要先模拟一次请求获取这个动态值再用于计算token。时间戳的同步服务器可能会校验时间戳如果本地时间与服务器相差太大请求会被拒绝。确保你的系统时间准确或者从服务器响应中获取时间进行校准。5. 进阶挑战与通用应对策略猿人学第二题是入门级现实中的反调试和混淆要复杂得多。5.1 应对代码混淆与压缩生产环境的JS代码通常经过混淆如使用obfuscator.io、javascript-obfuscator变量名变成_0x1a2b3c逻辑被拆散。应对策略使用反混淆工具如de4js等在线工具或本地Node.js模块可以一定程度上还原变量名和逻辑结构但无法完全恢复。动态Hook关键函数与其在混乱的代码里大海捞针不如直接Hook最终输出结果的函数。例如HookXMLHttpRequest.prototype.send或fetch在请求发出前打印出所有的参数。或者HookJSON.stringify、Array.prototype.join等观察数据是如何被组装的。“边执行边记录”策略在Console中重写关键的原型方法记录下所有的输入输出从而反向推导出算法。5.2 处理WebAssembly加密一些对安全性要求极高的网站会将核心加密算法编译成WebAssembly模块。在开发者工具中你只能看到一堆二进制代码或经过编译的文本格式。这大大增加了逆向难度。策略通常需要从调用WebAssembly的JavaScript胶水代码入手分析其输入输出。或者更直接的方法是不逆向算法本身而是通过浏览器自动化工具如Puppeteer、Selenium直接运行整个页面让浏览器计算好token后我们再从内存或网络请求中提取。这属于“执行环境模拟”的范畴。5.3 通用调试技巧与问题排查在逆向过程中你肯定会遇到各种报错和意外情况。ReferenceError: xxx is not defined在Console中执行代码时最常见。说明你引用的变量或函数不在当前作用域。解决方法是回到Sources面板在包含该变量的代码行上下文右键-Evaluate in Console中执行或者使用window.xxx的方式尝试访问如果是全局变量。算法还原后结果不一致编码问题检查字符串在JS和Python中是否使用相同的编码通常都是UTF-8但要确认。特别是包含中文等非ASCII字符时。时间戳格式JS的Date.now()是毫秒Python的time.time()是秒注意转换。随机数生成JS的Math.random()和Python的random.random()算法不同如果token依赖随机数且需要与服务端同步可能需要模拟相同的随机数序列这通常很难更好的办法是直接复用从网络请求中捕获到的随机数值。细小的逻辑差异比如字符串拼接时是否有不可见字符数组join时使用的分隔符是什么位运算的细节等。需要逐行对照JS调试时的中间变量值和Python计算的中间值。请求被服务器拒绝403/412等检查请求头是否缺少必要的Cookie、Referer、Origin、X-Requested-With等头部。检查参数完整性是否漏掉了某个看似不重要但服务器会校验的参数。频率限制是否触发了服务器的反爬频率限制需要添加适当的延时或使用代理IP。TLS指纹或浏览器指纹高级反爬会检测你是否使用真实的浏览器库如requests的TLS指纹容易被识别。这时可能需要使用curl_cffi、undetected-chromedriver或修改requests的底层适配器来模拟更真实的指纹。逆向工程就像解谜耐心和细致观察比单纯的技术更重要。每一次成功绕过防御、还原算法都是对浏览器原理和网络协议一次更深刻的理解。这道关于无限debugger和token逆向的题目正是打开这扇大门的一把很好的钥匙。