js逆向实战之Bitcoin欣赏器交易x-apikey参数加密逻辑
声明：本篇文章仅用于知识分享实战网址：https://www.oklink.com/zh-hans/btc/tx-list
分析过程
[*]访问网址，会触发一条数据包。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922090459232-939950044.png
看它的响应内容。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922090548415-327418428.png
就是我们想要获取的内容，找到数据了。可以先实验直接去访问该url，看能否获取数据。
import requests
url = "https://www.oklink.com/api/explorer/v1/btc/transactionsNoRestrict?offset=0&limit=20&t=1726967064457"
headers = {"user-agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) "
"Chrome/128.0.0.0 Safari/537.36"}
resp = requests.get(url, headers=headers)
print(resp.text)回显如下。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922090816238-901261002.png
提示我们API_KEY未找到，阐明代码中少了这个参数，再归去看数据包是否有API_KEY。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922090459232-939950044.png
有，但是是一串加密后的字符串，接下来就去解析加密逻辑。
2. 全局搜索x-apikey。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922091033988-461185869.png
只有一处，双击定位。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922091057372-1002408954.png
打断点，刷新页面，发现此处断点没有触发，不知道是什么缘故原由。既然断点触发不了，直接看这行代码，有用的就是getApiKey函数。
3. 全局搜索getApiKey。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922091302704-236634582.png
总共有6处，只需关注定义的地方，调用的就不必要看了。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922091551199-1584021802.png
把这两处都点进去看一下。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922091642479-690446093.png
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922091710104-1444456675.png
代码都一样的，随便看一个就可以了。打断点，刷新界面，照旧没有触发断点。那就直接看代码吧。
var t = (new Date).getTime(), e = this.encryptApiKey();
return t = this.encryptTime(t),
this.comb(e, t)这段代码主要涉及4个函数，一个一个看。
（1）getTime()
这个函数看意思就知道获取时间戳的，没什么好讲的。
（2）encryptApiKey()
在当前文件中搜索encryptApiKey，找到定义的地方。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922092353776-1947055877.png
涉及三个变量t、e、r。
t = this.API_KEY：当前文件搜索API_KEY，是个定值。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922092616840-1452223159.png
e = t.split("")：将t进行分割，如果不知道得到的是什么，可以在控制台输出一下。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922092758572-2136865862.png
r = e.splice(0, 8)：对e进行切片，获取前8个元素。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922092850273-1969239682.png
return t = e.concat(r).join("")：将e和r进行拼接。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922092926022-73994957.png
这个函数最关键的变量就是t，只要t是个定值，该函数返回的就是一个定值。
（3）encryptTime()
在当前文件中搜索encryptTime，找到定义的地方。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922093039410-1135052085.png
涉及四个变量e、r、n、i。
e = (1 * t + l).toString().split("")：t是时间戳，只必要知道l的值是什么。在当前函数定义处往上翻几行，就可以看到定义的地方，也是个定值。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922093248155-2101338763.png
获取时间戳，看看输出效果，相称于对时间戳做了个运算，将每位数字拆分开来。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922093612521-168884440.png
r = parseInt(10 * h.o.mathRandom(), 10)：获取一个随机数，h.o.mathRandom()和Math.random()作用一样。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922093820060-1716295929.png
所以r、n、i三个变量都是随机数。
return e.concat().join("")：直接输出看效果，将四个变量进行拼接。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922094001880-521261277.png
（4）comb()
在当前文件中搜索comb，找到定义的地方。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922094109532-466463851.png
涉及变量r和函数window.btoa()。
r = "".concat(t, "|").concat(e)：输出看效果，就是将两个变量用|拼接。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922094647696-1712517126.png
return window.btoa(r)：输出看效果。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922094811118-1259050148.png
可以看到输出效果与我们在流量包中x-apikey的值格式划一。
4. 编写代码进行数据获取。
function getApiKey(t){
var e = encryptApiKey();
return t = encryptTime(t),
comb(e, t)
}
API_KEY = "a2c903cc-b31e-4547-9299-b6d07b7631ab"
function encryptApiKey() {
var t = API_KEY
, e = t.split("")
, n = e.splice(0, 8);
return t = e.concat(n).join("")
}
s = 1111111111111;
function encryptTime(t) {
var e = (1 * t + s).toString().split("")
, n = parseInt(10 * Math.random(), 10)
, r = parseInt(10 * Math.random(), 10)
, i = parseInt(10 * Math.random(), 10);
return e.concat().join("")
}
function comb(t, e) {
var n = "".concat(t, "|").concat(e);
return btoa(n)
}
//console.log(getApiKey());import requests
import execjs
import time
import json
# 想获取第几页的数据
offset = input("请输入你想获取第几页:")
# 获取时间戳
timestamp = int(time.time()*1000)
url = "https://www.oklink.com/api/explorer/v1/btc/transactionsNoRestrict?offset={}&limit=20&t={}".format(
offset, timestamp)
# 生成x-apikey
file_object = open("encrypt.js", mode="r")
exec_code = file_object.read()
exec_js = execjs.compile(exec_code)
x_apikey = exec_js.call("getApiKey", timestamp)
headers = {"user-agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) "
"Chrome/128.0.0.0 Safari/537.36",
"x-apikey": x_apikey}
resp = requests.get(url, headers=headers)
print(json.loads(resp.text))运行效果如下。
https://img2024.cnblogs.com/blog/3369335/202409/3369335-20240922095134307-1273671223.png
大功告成，结束。
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]