抢茅塔吗?学学某米的「有品APP」,如何做数据签名防护!!!

2023-11-11 01:31

本文主要是介绍抢茅塔吗?学学某米的「有品APP」,如何做数据签名防护!!!,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

一、请求参数签名的样式

数据签名的样式效果

二、业务流程剖析

前端

前端的业务场景,主要采用Vue技术,模块化开发业务视图;使用Ajax技术,作为基本的异步数据传输(HTTP 请求),这样就可使网页从服务器请求少量的信息,而不是整个页面。

当然大厂研发的相关项目产品,相应的前端资源肯定会配上CDN加速,来减轻主节点服务器的宽带压力。

后端

笔者分析了下,某米的「有品APP」后端的技术栈应该是:SpringBoot、Redis、Rabbitmq、Mysql、ElasticSearch集成为业务场景提供服务。

在相关的目标业务接口分析后,笔者估计,Nginx只是存放前端静态资源的,请求相应的接口,Nginx会在后端反向代理到真实的业务接口。

交互分析

三、业务场景断点调试

根据相关的接口响应数据分析,笔者找到了这个接口下的关键字,那么就很好能找到切入扣,分析数据提交前的业务代码块,是怎么进行数据签名的。

抢购地址的关键字为spikeUrl;估计,他们后端开发人员,在设计之初,是想,通过这种技术手段能大大提高维护性,还有隐秘性吧!

笔者,在这里也学到了新的网络安全知识(在F12下,你跟我谈安全?),然后通过关键字搜索,下图就是实际的业务代码块:

通过代码分析,该关键字所在的代码块,是要传入一个doSpike的函数下,那么继续跟踪,轻而易举的找到Ajax引用的业务代码块:

根据关键字Xe,继续搜索源后,得到下面分析:

通过临时变量赋值,后续随时进入Debugger

临时变量唤起抢购商品的入口函数

处理数据流程分析:

手动发起请求后,服务端返回的响应结果:

到这里,大致的业务流程,笔者这里已经唠的非常顺畅了,剩下就是数据签名这玩意了[doge]

调试步入数据签名函数:

对提交的数据,进行数据签名分析:

最后数据签名返回的结构体:

另外,细心的同学,肯定已经发现了,客户端的明文字典了:

经过分析后,其主要的数据签名算法如下:

//其中提交的数据是对象,有做转字符处理
//其中join是做拼接作用的
MD5( (与服务器同步的时间戳+随机数+提交的数据+数据干扰串).join('&') )
//原生混淆的算法
//a.a.hash( [ e, n, p.create(t), u(s) ].join("&") )

   

四、总结

某米的「有品APP」,在数据签名这块,他们自主研发的加密数据算法,在速度、复杂、安全系数方面,有很多的技术参考价值。

本文技术攻略若是对你有帮助,各位老板们,动动你们的手指安排 “ 打赏+分享 ” 把~

转载请标明原处,谢谢。

这篇关于抢茅塔吗?学学某米的「有品APP」,如何做数据签名防护!!!的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/386644

相关文章

python处理带有时区的日期和时间数据

《python处理带有时区的日期和时间数据》这篇文章主要为大家详细介绍了如何在Python中使用pytz库处理时区信息,包括获取当前UTC时间,转换为特定时区等,有需要的小伙伴可以参考一下... 目录时区基本信息python datetime使用timezonepandas处理时区数据知识延展时区基本信息

Qt实现网络数据解析的方法总结

《Qt实现网络数据解析的方法总结》在Qt中解析网络数据通常涉及接收原始字节流,并将其转换为有意义的应用层数据,这篇文章为大家介绍了详细步骤和示例,感兴趣的小伙伴可以了解下... 目录1. 网络数据接收2. 缓冲区管理(处理粘包/拆包)3. 常见数据格式解析3.1 jsON解析3.2 XML解析3.3 自定义

SpringMVC 通过ajax 前后端数据交互的实现方法

《SpringMVC通过ajax前后端数据交互的实现方法》:本文主要介绍SpringMVC通过ajax前后端数据交互的实现方法,本文给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价... 在前端的开发过程中,经常在html页面通过AJAX进行前后端数据的交互,SpringMVC的controll

Pandas统计每行数据中的空值的方法示例

《Pandas统计每行数据中的空值的方法示例》处理缺失数据(NaN值)是一个非常常见的问题,本文主要介绍了Pandas统计每行数据中的空值的方法示例,具有一定的参考价值,感兴趣的可以了解一下... 目录什么是空值?为什么要统计空值?准备工作创建示例数据统计每行空值数量进一步分析www.chinasem.cn处

如何使用 Python 读取 Excel 数据

《如何使用Python读取Excel数据》:本文主要介绍使用Python读取Excel数据的详细教程,通过pandas和openpyxl,你可以轻松读取Excel文件,并进行各种数据处理操... 目录使用 python 读取 Excel 数据的详细教程1. 安装必要的依赖2. 读取 Excel 文件3. 读

Spring 请求之传递 JSON 数据的操作方法

《Spring请求之传递JSON数据的操作方法》JSON就是一种数据格式,有自己的格式和语法,使用文本表示一个对象或数组的信息,因此JSON本质是字符串,主要负责在不同的语言中数据传递和交换,这... 目录jsON 概念JSON 语法JSON 的语法JSON 的两种结构JSON 字符串和 Java 对象互转

C++如何通过Qt反射机制实现数据类序列化

《C++如何通过Qt反射机制实现数据类序列化》在C++工程中经常需要使用数据类,并对数据类进行存储、打印、调试等操作,所以本文就来聊聊C++如何通过Qt反射机制实现数据类序列化吧... 目录设计预期设计思路代码实现使用方法在 C++ 工程中经常需要使用数据类,并对数据类进行存储、打印、调试等操作。由于数据类

SpringBoot使用GZIP压缩反回数据问题

《SpringBoot使用GZIP压缩反回数据问题》:本文主要介绍SpringBoot使用GZIP压缩反回数据问题,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录SpringBoot使用GZIP压缩反回数据1、初识gzip2、gzip是什么,可以干什么?3、Spr

Vue3组件中getCurrentInstance()获取App实例,但是返回null的解决方案

《Vue3组件中getCurrentInstance()获取App实例,但是返回null的解决方案》:本文主要介绍Vue3组件中getCurrentInstance()获取App实例,但是返回nu... 目录vue3组件中getCurrentInstajavascriptnce()获取App实例,但是返回n

如何解决idea的Module:‘:app‘platform‘android-32‘not found.问题

《如何解决idea的Module:‘:app‘platform‘android-32‘notfound.问题》:本文主要介绍如何解决idea的Module:‘:app‘platform‘andr... 目录idea的Module:‘:app‘pwww.chinasem.cnlatform‘android-32