进入正题拉，这个是我们今天要破解的网站：https://m.beibei.com/login/login.html
Chrome 开发者工具我觉得还是有必要学一下的，毕竟工欲善其事，必先利其器。做好爬虫，做好 JS 逆向，工具是第一位。 先看抓包情况：
本文仅仅介绍了常见的一些JS加密，并记录了JS和Python的实现方式 常见的加密算法基本分为这几类： (1)base64编码伪加密 (2)线性散列算法（签名算法）MD5 (3)安全哈希算法 SHAI (4)散列消息鉴别码 HMAC (5)对称性加密算法 AES，DES (6)非对称性加密算法 RSA
众所周知，Postman 是一款非常流行且易用的 API 调试工具，在接口调试或测试时经常被使用
该文章主要提供交流学习使用，请勿利用其进行不当行为！ 如本篇文章侵犯了贵公司的隐私，请联系我立刻删除！ 知乎相信很多人都知道，里面的文章也是不错的，今天我们来做一下知乎的模拟登陆。 知乎改版后的加密
最近在Auto.js中做腾讯云的文字识别OCR，其中有个难点是腾讯云的v3签名（有时也称作 TC3-HMAC-SHA256），其中需要用到几个加密算法，在其他服务端语言中都有现成的函数可以使用，但是在JavaScript和Auto.js中都找不到对应的函数，幸好Auto.js支持Java，参考Java代码稍微转换一下就可以用了。
这篇文章是公众号《云爬虫技术研究笔记》的《2019年末逆向复习系列》的第五篇：《知乎登录formdata加密逆向破解》
随着https的推广，越来越多的网站转到https协议了。但是还是有不少网站没有切换到https，还是使用http。使用http协议的网站，如果没有自己做用户名、密码及敏感信息加密；网络就会明文传输这些数据，如果一些没有用心的人对服务发起攻击，就可能给公司造成损失。
本文总结了在爬虫中常见的各种加密算法、编码算法的原理、在 JavaScript 中和 Python 中的基本实现方法，遇到 JS 加密的时候可以快速还原加密过程，有的网站在加密的过程中可能还经过了其他处理，但是大致的方法是一样的。
crypto是node.js中实现加密和解密的模块 在node.js中，使用OpenSSL类库作为内部实现加密解密的手段 OpenSSL是一个经过严格测试的可靠的加密与解密算法的实现工具
1) 确保都使用MCRYPT_MODE_CBC； 2) 确保明文填充都使用的是Pkcs5； 3) 加密key在AES_128长度必须是16, 24, 或者 32 字节(bytes)；如果不够长必须填充，过长必须截取，建议直接md5； 4) 加密向量iv与加密key有同样的约定，但在ECB可以忽略该值（用不到）。 5) 注意加密结果建议都使用base64编码。
本篇旨在简单总结JS与Python加密的一些例子,文中演示的案例也是面向新手,如果有大佬很碰巧看到这篇文章,欢迎加我交流,咸鱼愿意付费学习。
对称加密（加密解密密钥相同）：DES、DES3、AES 非对称加密（分公钥私钥）：RSA 信息摘要算法/签名算法：MD5、HMAC、SHA
HMAC算法是将散列算法与一个密钥结合在一起，以阻止对签名完整性破坏，其实就是类似于上面的提到的md5密码中加盐道理是类似的。 使用HMAC算法前，我们使用createHmac方法创建一个hmac对象，创建方法如下所示：
前端使用开源CryptoJS (crypto.js) 为 JavaScript加密算法，Github地址(https://github.com/brix/crypto-js）。目前已支持的算法包括：
其中this.exponent是RSA加密偏移量 ，数值一般在HTML文件里面，全局搜索，其value值就是
爬虫工程师在做加密参数逆向的时候，经常会遇到各种各样的加密算法、编码、混淆，每个算法都有其对应的特征，对于一些较小的网站，往往直接引用这些官方算法，没有进行魔改等其他操作，这种情况下，如果我们能熟悉常见算法的特征，通过密文就能猜测出使用的哪种算法、编码、混淆，将会大大提高工作效率！在 CTF 中通常也会有密码类的题目，掌握一些常见密文特征也是 CTFer 们必备的技能！
这次研究下 nodejs 的 crypto 模块，它提供了各种各样加密算法的 API。这篇文章记录了常用加密算法的种类、特点、用途和代码实现。其中涉及算法较多，应用面较广，每类算法都有自己适用的场景。为了使行文流畅，列出了本文记录的几类常用算法：
目前网上很多模拟登录知乎的代码已经无法使用，即使是二、三月的代码也已经无法模拟登陆知乎，所以我现在将新版知乎的模拟登录代码和讲解发布出来。
此次案例只为学习交流使用，抓包内容、敏感网址、数据接口均已做脱敏处理，切勿用于其他非法用途；
dongle 是一个轻量级、语义化、对开发者友好的 Golang 编码解码和加密解密库
在一些关键业务接口，系统通常会对请求参数进行签名验证，一旦篡改参数服务端就会提示签名校验失败。在黑盒渗透过程中，如果没办法绕过签名校验，那么就无法进一步漏洞检测。
写前端的时候，很多的时候是避免不了注册这一关的，但是一般的注册是没有任何的难度的，无非就是一些简单的获取用户输入的数据，然后进行简单的校验以后调用接口，将数据发送到后端，完成一个简单的注册的流程，那么一般来说，密码是不做加密的。但是也有一些数据库里面存放的是加密后的密码，这样有一个比较安全的地方在于，即使黑客将用户输入的文本密码得到了，也不知道具体是什么，因为密码是经过加密的。
选择合适的用户身份验证方法需要考虑多个因素，包括安全性、用户体验、应用场景和技术实现等。以下是一些常见的用户身份验证方法，以及选择时需要考虑的关键因素：
作为同源策略的一部分，XMLHttpRequest对象可以发起HTTP请求，由于同源的影响，导致必须是同源的，
某查 api 接口请求的请求头都会增加这么一个头，每次请求都会刷新，如果不携带就会返回状态码 405
下面是一个用HS256生成JWT的代码例子的结构 HMACSHA256(base64UrlEncode(header) + “.” + base64UrlEncode(payload),secret)
HMACSHA一共有5种加密方式，分辨是 HMAC SHA-1， HMAC SHA-224，HMAC SHA-256，HMAC SHA-384，HMAC SHA-512。
ps:上面SHA系列算法是根据生成的密文的长度而命名的各种算法名称，如SHA1（160bits）、SHA224、SHA256、SHA384等。我们常听说的MD5算法生成的密文长度为128bits
消息认证码（Message Authentication Code，简称 MAC）是一种通过使用秘密密钥生成的，用于验证消息完整性和真实性的码。MAC 能够确保消息在传输过程中未被篡改，并且发送者的身份是可信的。
今天来讲一下如何用这个MD5来加密 第一步： 两种导入MD5.js 一种你可以到以下这个地址去引入MD5的js路径：https://www.bootcdn.cn/blueimp-md5/ 另一种下面是md5的js,直接复制下去放到js文件里。亲测可用
通译自：6 Major Features of Node.js 19. Details of Node.js 19 new features… | by Jennifer Fu | Oct, 2022 | Better Programming
这里的MAC，并不是计算机中的MAC地址，而是消息验证码（Message Authentication Code，MAC)。在写给开发人员的实用密码学 - Hash算法中讲到的Hash算法能够进行完整性校验，但却不能避免消息被篡改，而MAC正是为了避免消息被篡改而设计。
用于加密相关的操作，3.X里代替了md5模块和sha模块，主要提供SHA1，SHA224,SHA256，SHA384，SHA512，MD5算法 (sha比md5 更复杂、md5 不能反解) 具体应用：用于网站防篡改。具体方法：监控网站被篡改，定时的去wget 去下载，然后md5比对 ，检查网站是否被篡改。
开放的接口为了避免被别人乱调用，浪费服务器资源，这就涉及到签名（Signature）加密了
就算原文件是纯英文内容，编码后内容也和原文完全不一样，普通人难以阅读但由于只有16个字符，听说一些程序员大牛能够记下他们的映射关系，从而达到读hex编码和读原文一样的效果。另外，数据在经过hex编码后，空间占用变成了原来的2倍。
在商用密码体系中，SM3主要用于数字签名及验证、消息认证码生成及验证、随机数生成等，其算法公开。据国家密码管理局表示，其安全性及效率与SHA-256相当。
从结果中可以发现，HmacSHA1算法和SHA1算法都可以为任意长的消息生成一个20字节(160bit)的固定大小的输出，那么他们的区别在哪儿呢？
HMAC（散列消息认证码） 使用密钥和散列函数对消息进行加密，并用结果生成一个数字签名。
hmac.new(secret_key, bytes_to_client, digestmod='md5').digest() # 服务器本地加密随机 bytes
现在前端开发为了提高爬虫的难度及加强安全性，都会在数据包提交前进行加密，最典型的就是传参加密，相信大家在测试的时候都遇到过，那么我们在抓取数据包并修改之后，修改之后的参数无法通过后端程序数据完整性的校验，就无法进行进一步测试。如果我们逆向解析出加密的过程，就可以模拟出相同的密文，通过后端接口的校验。
用户数据应经过加密再传输,此文档为aes128加密(cbc模式)的说明 摘要算法为SHA-512
本文翻译自How to encrypt and decrypt data in Node.js
在系统中， ssh -Q help 命令的参数，用于列出 OpenSSH 中支持的各种加密和验证算法。以下是每个选项的详细说明：
高级加密标准（英语：Advanced Encryption Standard，缩写：AES），对称加密
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
