全国建筑市场监管公共服务平台JS逆向

文章讲述了通过观察网页源代码,使用F12开发者工具定位到数据查询接口,并通过断点调试JavaScript找到加密方法的过程。作者使用特定工具解密了字符串,并提出在处理异步时应尽可能跳过不相关部分,聚焦于明文密文交界处来找到关键解密逻辑。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

看了志远的公开课,自己做一下练手。

全国建筑市场监管公共服务平台(四库一平台)

先点到 数据这里打开f12看一眼 第一个就是

https://jzsc.mohurd.gov.cn/api/webApi/dataservice/query/comp/list?pg=1&pgsz=15&total=450

取这个地址的最后两个 comp/list 先全局搜索,在点开搜索,找到对应js,进souce下一下断点看看

 

好 ,断出来到这个地方,然后单步调试追栈找到他的加密方法哪里

 

 好到了这里我们看到iv是m那么key就是f,复制个未解密的字符串,打开wt-js试一下(注意复制过来是16进制的,不是base64,记得选hex,要注意区分

ok,拿到解密,其他流程就不做赘述了,逆向完成。

 总结

断到能确定的位置,再在此处下断,断住之后找第一个参数数组的第一个方法,此方法大概率是解密或加密方法

没找到有一种可能可以跳过这个异步,因为这个异步没有参与加解密,核心是找明文密文交界处

正常的往下追基本都能拿下

调试异步

第一个原则  能跳过就跳过

第二 遇见跳不过的要确定异步类型

(Promise.then这种的找他下面的 n=n.then(t.shift(),t.shift()) 然后找他的第一个

找到加密找不到明文key就对这个key.tostring()

### 全国建筑市场项目中的JavaScript逆向工程与Webpack的应用 #### JavaScript逆向工程技术概述 在探讨全国建筑市场的项目中进行JavaScript逆向工程时,主要关注的是理解现有系统的内部工作原理及其依赖关系。通过分析已有的前端代码结构、网络请求模式以及数据交互流程来实现这一目标。 对于Web应用程序而言,特别是那些基于现代框架开发的应用程序,如React或Vue.js,在执行逆向工程的过程中通常会涉及到解析由打包工具(例如Webpack)处理后的复杂文件结构。由于Webpack采用了一种特殊的资源管理机制——即将最终输出的JS和CSS文件“逆向”地注入到HTML文档中[^1],因此解构这类应用的第一步便是要还原原始模块间的关联性。 #### Webpack的具体应用场景 当考虑将Webpack应用于大型企业级项目,尤其是像全国建筑市场这样规模庞大且组件众多的情况下,合理的配置显得尤为重要。为了有效管理和优化构建过程: - **多入口点设置**:针对不同页面创建独立的入口文件,从而减少不必要的重复加载; - **按需加载策略**:利用动态导入语法(`import()`)分割代码片段,仅在网络访问对应功能区域时才发起下载; - **公共库提取**:识别并分离第三方类库至单独chunk内,提高缓存命中率的同时降低首页白屏时间; ```javascript // webpack.config.js 示例部分 module.exports = { entry: { vendor: ['react', 'lodash'], // 提取常用外部库 app: './src/index.jsx' }, optimization: { splitChunks: { chunks: 'all' }, // 启用自动拆分逻辑 } }; ``` 此外,考虑到实际业务场景下的特殊需求,还可以引入诸如`HtmlWebpackPlugin`插件来自动生成包含正确路径引用的index.html模板,简化部署流程。 #### 安全考量 值得注意的是,在实施上述技术方案过程中还需重视安全性保障措施。鉴于Google定义的安全级别二标准指出,所有服务使用的软件都应来源于经过严格审查并通过测试验证过的特定代码仓库[^3],所以在开展任何逆向操作前务必确认源码合法性,并遵循最佳实践指导方针以防止潜在风险暴露给恶意攻击者。
评论 2
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值