第 12 关：接口下发 JS + 字符串混淆 + 内置 MD5 + 反调试

现象#

1. 打开靶场，页面上是 10 个四位数字和一个「本页合计」，能翻 5 页，最后一个是灰的。
2. 打开 F12 —— 还没看清代码，Sources 面板就开始周期性断住：断点停在一行看着没什么的调用上，点继续，半秒后又断。这就是时间轮询式反调试。
3. Network 里只有三条请求：

1
GET /api/challenges/CH-012/init     -> {"script_url": "...", "data_url": "...", "total_pages": 5, ...}
2
GET /api/challenges/CH-012/script   -> 一段 JS（Content-Type: text/javascript）
3
GET /api/challenges/CH-012/data?page=1
4
      -> {"code":"0","qz":[...字节数字...],"sig":"b1cd5e3ce7fb9b18e4390f76c27ec005","page":1,...}

4. 那段下发的 JS，静态搜 debugger、setInterval、eval、md5 全都搜不到：

1
var $dbsm_0x5d57 = function (_0x1a2b, _0x3c4d) {
2
  var _0x1a2b = [...'\\x64\\x65\\x62\\x75\\x67\\x67\\x65\\x72', ...];   // 都是转义，看不出是什么
3
  return _0x1a2b[_0x3c4d];
4
};

5. 数据接口返回的 qz 是一串数字（字节值），不是明文；旁边还有 sig 做校验。
6. 直接改 page=6 → {"code":"1","message":"页码超出范围（一共 5 页）"}。

分层：这次要拆的是”下发的代码”#

第一步：先把反调试按住#

下发的脚本里（还原转义后）核心就这几行：

1
function _0x5d57_0x6() {
2
  var t0 = Date.now();
3
  (0, eval)($dbsm_0x5d57(2));                  // 表[2] = 'debugger'
4
  if (Date.now() - t0 > 200) { for (;;) {} }   // 被调试器停住过 → 死循环
5
}
6
w[$dbsm_0x5d57(1)](_0x5d57_0x6, 500);          // setInterval(fn, 500)

三个要点：

• debugger 不是关键字写在源码里，而是从字符串表里取出来、再用间接 eval (0, eval)(...) 执行 —— 所以”在 debugger 那行打个断点”这招没用，静态也搜不到；
• 它用时间差检测调试器：真被断住时 Date.now() 会跳几百毫秒以上，于是主动进死循环； 换句话说，没有调试器时它完全无害（这也就是为什么爬虫脚本可以在无头环境里正常跑）；
• 应对方式：DevTools 按 Ctrl+F8（Deactivate breakpoints），或在 setInterval 被调用前

  1
  window.setInterval = (fn, ms) => (console.log('拦下定时器', fn.toString()), 0)

  更省事的当然是根本不跟调试器。

补充一个通用招数：Function / eval 都是”运行时才出现源码”的典型入口， 给它们加一层 Proxy 就能把参数（也就是被隐藏的代码）打出来：

1
const rawEval = window.eval;
2
window.eval = (src) => (typeof src === 'string' && console.log('eval:', src), rawEval(src));

第二步：把字符串表翻译出来#

$dbsm_0x5d57 就是个数组下标查表，表项写成十六进制转义只是为了别让关键字出现在静态文本里。 在控制台（脚本已加载后）敲一行就全出来了：

1
$dbsm_0x5d57(0)   // '\x6c\x73\x73\x68\x69\x65\x6c\x64' 系列...

或者干脆本地解码（s14.py 里的 decode_qz 一样的思路）：

1
>>> bytes.fromhex("6465627567676572").decode()   # 'debugger'
2
>>> bytes.fromhex("736574496e74657276616c").decode()  # 'setInterval'
3
>>> bytes.fromhex("6576616c").decode()          # 'eval'

翻译完，整段脚本的可读性就回来了：w.LSShield = { decode, split, digest, verify, ready }。

第三步：解 qz（真正的数据）#

数据接口给的 qz 是明文的每个字节异或一个固定值（这一关是 0x5a）， 拿到明文后还能顺手验一下摘要：

1
text = ''.join(chr(b ^ 0x5a) for b in payload["qz"])          # "9725,5484,..."
2
assert md5(text + "qz2026") == payload["sig"]                  # 和内置 MD5 做的是同一件事
3
values = [int(x) for x in text.split(",")]

XOR key 和盐在哪儿？ 就在下发的那段脚本里 —— 而且把它们解出来也能看到： qz 解码后是那支 LSShield 工厂函数的源码，里面明写着

1
return md5(text + 'qz2026').toString();   // 盐
2
bytes[i] ^ 0x5a                           // XOR key

所以 s14.py 的思路是：先解开 qz 拿到源码 → 从源码里正则抠出盐，一步都不用猜。

第四步：五页求和#

init 接口只说有几页（total_pages: 5）。循环翻页、每页解 10 个数字，累加即可：

1
for page in range(1, init["total_pages"] + 1):
2
    payload = session.get(init["data_url"], params={"page": page}).json()
3
    text = decode_qz(payload["qz"], 0x5a)
4
    assert md5(text + salt) == payload["sig"]
5
    total += sum(int(x) for x in text.split(","))

跑出来（参考代码/s14.py）：

1
XOR key = 0x5a，盐 = qz2026
2
第 1 页：10 个数字，本页合计 42584
3
...
4
第 5 页：10 个数字，本页合计 51223
5

6
五页数字总和：251142（提交这个数字）

排查清单#

1. 一开 F12 就反复断住：反调试，Ctrl+F8 停用断点；或先 window.setInterval 打补丁再刷新。
2. 控制台里 LSShield 是 undefined：脚本是页面动态插 <script> 加载的，等它加载完再取； 也可以直接 fetch(init.script_url) 把源码拿下来自己看。
3. 静态搜不到 debugger / setInterval：正常，它们分别由 (0, eval)(表[2]) 和 表[1] 生成。
4. qz 解出来是乱码：XOR key 不对（这一关是 0x5a，注意别用成了别的关卡的 key）。
5. sig 校验不过：盐不对，或者拼盐时多/少了分隔符（是 明文 + 盐，没有分隔符）。
6. code: "1"：页码超范围，一共 5 页。
7. /script 返回 401：接口需要登录态，脚本里要带 Cookie。

常见问题#

Q：为什么要把 JS 放到接口里发，而不是直接写进静态文件？ A：静态文件是”看得见、搜得到、能下载”的；放到接口里至少能按会话下发（每人不完全一样的参数）、能随时改， 还想让你多花一步去”抓代码”。对爬虫来说多了一层”必须先登录、先分析”的门槛。

Q：内置 MD5 有什么用？不是随便就绕过了吗？ A：它的作用不是”加密”（MD5 本来也不可逆），而是自校验 + 提高门槛： 让服务端能确认数据没被乱改，同时逼你读懂它的数据格式。

Q：既然是前端校验，改一下不就行了？ A：可以，但判断题在后端。前端能改的只是”你自己看到的”；数据、答案、判分都在服务端， 所以正确姿势是还原算法，不是改前端。

最后提醒#

这些手段只适合在授权范围内的练习环境里研究。真实站点有服务条款和技术措施保护，绕过它们可能违法。