python爬虫 – js逆向之突破某网的debug检测

前言

朋友给了我一个网站，他说这个网站的debug检测有点东西，于是我准备研究一下

网址：aHR0cHM6Ly93d3cuYXFpc3R1ZHkuY24vaGlzdG9yeWRhdGEvZGF5ZGF0YS5waHA/Y2l0eT0lRTYlOUQlQUQlRTUlQjclOUUmbW9udGg9MjAyMTA5 （请不要问我什么东西，懂的都懂）

 

分析

打开网站，只能给一部分了，看出来的就懂，看不出来的也不要问我是啥

 

 

打开确实是正常显示哈，好，我们按右键，打开控制台看看，当我按鼠标右键的时候：

 

 

牛逼啊，有按键检测

 

那直接按f12吧：

 

 

 

有点意思哈，f12也被警用了

 

那行，我在打开这个网站之前就把浏览器调试工具按住来了,把地址放上去，回车：

 

 

网站数据页面本来有展示，但是在一瞬间突然变成如下页面：

 

 

然后还出来了个这个：

 

 

根据常规经验，鼠标放到这一行，右键，然后选择：

 

 然后再按右边的断点继续键：

 

 

现在网页变成这样：

 

 

 

回车刷新页面，看到有数据页面，但是一瞬间又变回刚才那个检测页面：

 

 

是哪里的问题呢？直接搜相关的字段：

 

 找到这个js文件：

 

 

 

源码：

var debugflag = false;
document.onkeydown = function() {
    if ((e.ctrlKey) && (e.keyCode == 83)) {
        alert("检测到非法调试，CTRL + S被管理员禁用");
        return false
    }
}
;
document.onkeydown = function() {
    var e = window.event || arguments[0];
    if (e.keyCode == 123) {
        alert("检测到非法调试，F12被管理员禁用");
        return false
    }
}
;
document.oncontextmenu = function() {
    alert('检测到非法调试，右键被管理员禁用');
    return false
}
;
!function() {
    if (window.outerWidth - window.innerWidth > 210 || window.outerHeight - window.innerHeight > 210) {
        $('#body').html('检测到非法调试, 请关闭调试终端后刷新本页面重试!<br/>Welcome for People, Not Welcome for Machine!<br/>');
        debugflag = true
    }
    let handler = setInterval(()=>{
        if (window.outerWidth - window.innerWidth > 210 || window.outerHeight - window.innerHeight > 210) {
            $('#body').html('检测到非法调试, 请关闭调试终端后刷新本页面重试!<br/>Welcome for People, Not Welcome for Machine!<br/>');
            debugflag = true
        }
        let before = new Date();
        (function() {}
        ["constructor"]("debugger")());
        let after = new Date();
        let cost = after.getTime() - before.getTime();
        if (cost > 50) {
            debugflag = true;
            try {
                $('#body').html('检测到非法调试, 请关闭调试终端后刷新本页面重试!<br/>Welcome for People, Not Welcome for Machine!<br/>');
                document.write('检测到非法调试, 请关闭调试终端后刷新本页面重试!<br/>');
                document.write("Welcome for People, Not Welcome for Machine!<br/>")
            } catch (err) {
                alert('检测到非法调试, 请关闭调试终端后刷新本页面重试!')
            }
        }
    }
    , 2000)
}();

 

 

有点意思哈

一段一段的看，先看这一段

 

 

意思就是防止整个页面被保存到本地，所以禁用了ctrl+s键

再看第二段：

 

 

首先keyCode这个对于前端的老哥来说就很熟悉了，可以这么说，你键盘的所有按键，js都是有对应的数字编码的，123刚好就是f12i键的编码，这里的意思就是禁用f12，防止你打开调试窗口调试该网站接口

 

键盘编码表：

/* 键盘编码列表 
    8: BackSpace BackSpace            79: o O                          133: F22
    9: Tab Tab                        80: p P                          134: F23
    12: Clear                         81: q Q at                       135: F24
    13: Enter                         82: r R                          136: Num_Lock
    16: Shift_L                       83: s S                          137: Scroll_Lock
    17: Control_L                     84: t T                          187: acute grave
    18: Alt_L                         85: u U                          188: comma semicolon
    19: Pause                         86: v V                          189: minus underscore
    20: Caps_Lock                     87: w W                          190: period colon
    27: Escape Escape                 88: x X                          192: numbersign apostrophe
    32: space                         89: y Y                          210: plusminus hyphen macron
    33: Prior                         90: z Z                          211:
    34: Next                          96: KP_0 KP_0                    212: copyright registered
    35: End                           97: KP_1 KP_1                    213: guillemotleft guillemotright
    36: Home                          98: KP_2 KP_2                    214: masculine ordfeminine
    37: Left                          99: KP_3 KP_3                    215: ae AE
    38: Up                            100: KP_4 KP_4                   216: cent yen
    39: Right                         101: KP_5 KP_5                   217: questiondown exclamdown
    40: Down                          102: KP_6 KP_6                   218: onequarter onehalf threequarters
    41: Select                        103: KP_7 KP_7                   220: less greater bar
    42: Print                         104: KP_8 KP_8                   221: plus asterisk asciitilde
    43: Execute                       105: KP_9 KP_9                   227: multiply division
    45: Insert                        106: KP_Multiply KP_Multiply     228: acircumflex Acircumflex
    46: Delete                        107: KP_Add KP_Add               229: ecircumflex Ecircumflex
    47: Help                          108: KP_Separator KP_Separator   230: icircumflex Icircumflex
    48: 0 equal braceright            109: KP_Subtract KP_Subtract     231: ocircumflex Ocircumflex
    49: 1 exclam onesuperior          110: KP_Decimal KP_Decimal       232: ucircumflex Ucircumflex
    50: 2 quotedbl twosuperior        111: KP_Divide KP_Divide         233: ntilde Ntilde
    51: 3 section threesuperior       112: F1                          234: yacute Yacute
    52: 4 dollar                      113: F2                          235: oslash Ooblique
    53: 5 percent                     114: F3                          236: aring Aring
    54: 6 ampersand                   115: F4                          237: ccedilla Ccedilla
    55: 7 slash braceleft             116: F5                          238: thorn THORN
    56: 8 parenleft bracketleft       117: F6                          239: eth ETH
    57: 9 parenright bracketright     118: F7                          240: diaeresis cedilla currency
    65: a A                           119: F8                          241: agrave Agrave atilde Atilde
    66: b B                           120: F9                          242: egrave Egrave
    67: c C                           121: F10                         243: igrave Igrave
    68: d D                           122: F11                         244: ograve Ograve otilde Otilde
    69: e E EuroSign                  123: F12                         245: ugrave Ugrave
    70: f F                           124: F13                         246: adiaeresis Adiaeresis
    71: g G                           125: F14                         247: ediaeresis Ediaeresis
    72: h H                           126: F15                         248: idiaeresis Idiaeresis
    73: i I                           127: F16                         249: odiaeresis Odiaeresis
    74: j J                           128: F17                         250: udiaeresis Udiaeresis
    75: k K                           129: F18                         251: ssharp question backslash
    76: l L                           130: F19                         252: asciicircum degree
    77: m M mu                        131: F20                         253: 3 sterling
    78: n N                           132: F21                         254: Mode_switch
    */

 

再接着看这一段：

 

 

 

 

这个，说白了，鼠标的左键，右键，中键也是可以被js检测到的，所以，当检测你按了鼠标右键，也不让用，怕你按右键-检查 也进行调试

 

 

再看下面这一段：

 

 

 这里就是检测你的电脑的实际宽度和高度分别跟浏览器显示宽度和高度相减，如果大于210，那说明你开了调试工具，什么意思，看下图：

 

第一个大框，你姑且认为我画的就是最外层的显示宽度和高度，内层的大框，姑且任务就是浏览器显示的实际宽度和高度，因为这个截图工具，不太好控制边距，各位老哥将就看了，所以，你看到就是这样，而比较明显的就是，电脑实际高度跟浏览器显示高度相肯定大于210了，所以它就觉得你肯定开了调试工具，所以也显示那个提示

 

再看最后一段：

 

 这段的意思就是，先记录一个时间before，然后启动debugger，此时就是上面我们已经跳过debugger那里，然后再生成一个时间after，用这两个时间相减，如果大于50，它就任务你还是在尝试调试，所以仍然出现同样的提示

 

方法一：

 

整段代码就是这样，那么它既然检测那么多，那这样，我们打开调试窗口之后，点这个：

 

 

让调试窗口作为一个单独页面窗口，就可以规避掉上面的好多层检测，同时刚才的never pasue here也继续保持，刷新页面：

 

方法二：

 还是找到debugger这里，右键，选择如下：

 

 

 

 

然后输入false:

 

 

 

 

但是，这里要注意，如果这段js，是写在一行的，而不是向上面一样分行写的话，以上两个方法都不行，都没法跳过debugger，如下：

 

 

 

 

 

 

 

 （base62编码，没打错字，就是base62，不是base64）

 

方法三

在控制台重写该方法，置空

 

同时网页不要刷新，因为在console.log里是临时，一刷新就没了

然后放开断点看不行：

 

 

 发现这里并不太实用，那这个方法不行吗，不是，只是这里不适用，当然上面设置的其实已经生效了，因为上图都不是在同一个虚拟js空间里断上的，而是新开了好几个vm然后断上的，所以，它应该有个循环，而且这个循环体应该有个调用函数，所以这个调用函数就是执行这个debugger的上级，只要找到它，然后给他一个空即可

 

搜索相关关键词：

 

找到了一个叫endedug的函数，不出意外就是它了，给它置空看看就知道了：

 

 此时方法可行，完毕

 

 方法四

在控制台里输入如下，回车，切忌不要刷新页面

//去除无限debugger
Function.prototype.__constructor_back = Function.prototype.constructor;
Function.prototype.constructor = function() {
    if(arguments && typeof arguments[0]==='string'){
        //alert("new function: "+ arguments[0]);
        if("debugger" === arguments[0]){
            //arguments[0]="console.log(\"anti debugger\");";
            //arguments[0]=";";
            return
        }
    }
   return Function.prototype.__constructor_back.apply(this,arguments);
}

　　

 

网址终于正常显示，然后就可以进行下面的接口分析了

 

 

而其实，你还有很多方法，比如直接hook，把里面那个debugflag改为false之类的，或者直接在控制台改值，或者用浏览器插件控制改值，或者用reres插件直接把相关的js替换了，方法很多，这里就不一一展示了

 

结语

 

很简单对吧，所以还是得学学js，能看懂js代码，你才能真的做js逆向