逆向工程实战：数美滑块验证码行为加密与Python自动化破解

1. 项目概述与核心挑战

最近在分析一个需要登录的网站时，遇到了数美科技的滑块验证码。这玩意儿在不少金融、电商、社交类App的后台或网页端都很常见，主要目的就是拦住自动化脚本，确保操作的是真人。对于做数据采集、自动化测试或者单纯想研究一下安全机制的朋友来说，绕过它是个绕不开的坎。所谓的“扣代码”，其实就是指从混淆、压缩、加密过的前端JavaScript代码中，把生成关键参数（比如滑块轨迹、加密token）的核心逻辑剥离出来，用Python或其他语言重新实现。这个过程，远比简单地调用一个打码平台要硬核，也更考验对JavaScript运行机制和加密原理的理解。

数美的滑块，业内口碑算是“有点东西”的。它不像一些简单的滑块，只校验一下拖拽的位移距离。数美会采集你整个拖拽过程中的行为数据，包括移动轨迹、速度、加速度、甚至鼠标的微小抖动，然后通过一套复杂的算法生成一个加密的token，提交到后端进行验证。如果你直接用自动化工具模拟一个“完美”的匀速直线运动，百分之百会被识别出来。所以，逆向的目标非常明确：第一，搞清楚前端是如何采集和加密这些行为数据的；第二，把这个加密过程用Python复现出来，让我们的脚本能生成一个足以“骗过”服务器的合法token。

整个逆向过程，可以概括为“定位、分析、扣取、还原”四步。听起来简单，但每一步都可能遇到各种“坑”，比如令人眼花缭乱的代码混淆、层层嵌套的函数调用、以及为了反调试而设置的各种陷阱。接下来，我就结合这次逆向数美滑块的实际经历，把这其中的门道和踩过的坑，掰开揉碎了跟大家聊聊。

2. 逆向环境准备与关键工具链

工欲善其事，必先利其器。在开始“扣代码”之前，搭建一个顺手的逆向分析环境至关重要。这个环境的核心目标有两个：一是能清晰地看到前端JavaScript的执行逻辑和数据流，二是能方便地对我们感兴趣的代码片段进行调试和导出。

2.1 浏览器开发者工具深度配置

Chrome DevTools 是我们的主战场。除了常用的Sources和Network面板，有几个关键设置和功能必须打开。

首先，在Settings->Preferences中，确保勾选了“Disable JavaScript”（可以随时禁用JS）和“Enable local overrides”（允许本地覆盖源码）。后者极其有用，当你在Sources面板里找到关键JS文件后，可以直接右键Save for overrides，之后你对这个文件所做的任何修改（比如下断点、修改变量值）都会在刷新页面后生效，而无需每次都去线上找。

其次，针对混淆代码，Sources面板下的“Pretty-print”按钮（那个花括号{}图标）是救命稻草。它能将压缩成一行的代码重新格式化，变得可读。但要注意，对于经过特殊混淆（比如变量名替换为_0x1a2b3c这种十六进制字符串）的代码，美化后逻辑依然绕，但至少结构清晰了。

最关键的是断点策略。不要一上来就在可疑函数入口下断点，那样很容易被海量的调用淹没。我的习惯是：

1. 事件监听器断点：在Sources面板右侧的Event Listener Breakpoints里，展开Mouse事件，勾选mousedown，mousemove，mouseup。因为滑块操作必然触发这些事件，从这里切入能最快定位到事件处理函数。
2. XHR/Fetch断点：在滑块拖动完成后，前端一定会发送一个验证请求。在Sources面板右侧的XHR/Fetch Breakpoints里，点击+号，输入包含验证关键字（如verify，validate，token）的URL片段。当请求发出时，代码执行就会自动暂停在发起请求的那一行，逆向查找加密逻辑的入口就变得非常直接。
3. DOM断点：有时候加密参数会直接写入到某个隐藏的input元素中。右键点击该DOM元素，选择Break on->Attribute modifications，当其值被修改时，执行流也会中断。

2.2 辅助逆向工具的选择与搭配

光靠浏览器还不够，一些专业工具能极大提升效率。

• Fiddler Classic / Charles：这类抓包工具的重要性不亚于DevTools。它们能记录所有HTTP/HTTPS请求和响应，并且具备强大的断点和修改功能。在逆向初期，通过抓包可以快速确定验证请求的端点（Endpoint）、请求参数的结构（尤其是那个关键的token或sig字段）。我们可以用Fiddler的AutoResponder功能，将线上的JS文件替换为本地的、经过我们解混淆或修改的版本，方便调试。
• Node.js环境：这是“扣代码”后进行本地化验证和模拟执行的沙盒。很多时候，浏览器里能跑通的代码片段，直接复制到Node.js里会因为缺少浏览器环境（如window，document对象，或某些Web API）而报错。我们需要用vm2这类沙盒模块，或者更简单地，使用puppeteer无头浏览器来执行这些代码，确保逻辑正确。
• Python环境及相关库：最终我们要用Python来实现整个流程。除了基本的requests库用于发请求，execjs或PyExecJS库常用于直接执行我们“扣”出来的JavaScript代码片段。对于更复杂的、需要模拟浏览器完整环境的情况，playwright或selenium是更好的选择，它们能直接驱动真实浏览器执行JS。

注意：使用execjs时，要注意其调用的JavaScript引擎（如Node.js，或系统安装的JavaScriptCore）。不同引擎对ES6+语法的支持度可能不同，可能导致扣出来的代码无法运行。稳妥起见，在扣代码时尽量将ES6语法（如let/const、箭头函数、模板字符串）转换为ES5语法。

2.3 核心思路：由外而内，顺藤摸瓜

逆向分析最忌讳一头扎进几万行的混淆代码里。正确的思路是从网络请求这个最外层的“结果”出发，反向推导。

1. 抓包定位验证请求：正常操作一次滑块，在Fiddler或Chrome Network中，找到最后那个状态码为200的验证请求（通常是POST方法）。重点关注它的Form Data或Payload，里面一定有一个长得像乱码的长字符串字段，这就是加密后的token。记下这个请求的URL和所有参数。
2. 搜索关键参数：在Sources面板，按Ctrl+Shift+F进行全局搜索。搜索这个token的字段名（如token，sig，w），或者搜索验证请求的URL片段。通常能直接定位到组装这个请求参数的JavaScript代码位置。
3. 下断点追踪数据流：在找到的位置下断点，重新操作滑块。当断点触发时，观察调用栈（Call Stack），看看这个参数是从哪个函数返回的。然后一步步跟进去，关注这个参数的生成过程。它很可能是一个复杂函数调用的返回值，这个函数就是我们最终要扣取的目标。

3. 数美滑块核心逻辑分析与代码定位

按照上面的思路，我们开始针对数美滑块进行实战分析。数美的前端代码混淆程度属于中等偏上，变量名和函数名都被替换了，但函数结构和控制流通常保持得相对完整。

3.1 网络请求分析与加密入口定位

首先，操作滑块完成验证，在开发者工具的Network面板中过滤XHR请求。很快就能找到一个指向类似https://captcha-api.fengkongcloud.com/api/v2/slider/verify的POST请求。查看其请求负载（Payload），会发现一个非常关键的字段，比如叫riskToken、sig或一个无意义的键名，其值是一长串由字母数字和符号组成的字符串，这就是加密后的核心凭证。

同时，请求里通常还会包含一些其他信息，比如organization（机构标识）、captchaUuid（本次验证会话ID）、model（滑块类型，如slide）、以及一个data字段，里面可能包含了滑块背景图、缺口位置的加密信息等。我们的核心目标，就是逆向生成那个最长的、加密的token字段。

在Sources面板全局搜索这个token的字段名（例如：riskToken）。搜索结果可能会指向一个被压缩的JS文件。点击进入，格式化代码后，继续在该文件内搜索这个字段名。通常会找到类似这样的代码块：

var _0x123456 = { 'riskToken': _0xabcdefg['generateToken'](_0xparam1, _0xparam2), 'captchaUuid': _0xuuid, // ... 其他参数 };

这里_0xabcdefg['generateToken']很可能就是加密函数。在这个函数名上点击，尝试跳转到定义处。如果无法直接跳转，可以搜索generateToken这个字符串（注意可能是被赋值给一个变量），或者更直接地，在包含riskToken的这一行代码左侧行号处点击，设置一个行断点。

3.2 关键函数追踪与行为数据采集逻辑

设置断点后，刷新页面并重新拖动滑块。当代码执行到断点处暂停时，重点观察两个地方：调用栈（Call Stack）和作用域变量（Scope）。

• 调用栈：可以看到当前函数是被谁调用的。一层层往上查看，你就能理清从鼠标事件触发，到轨迹采集，再到加密生成token的完整调用链。这个链条里，每一个节点都可能是我们需要分析的函数。
• 作用域：在Local或Closure作用域中，查看传入generateToken函数的参数（_0xparam1, _0xparam2）到底是什么。通常，其中一个参数就是包含了完整用户行为数据的对象。

通过单步调试（F10）步入（F11）这些函数，我们可以发现数美滑块行为数据采集的大致逻辑：

1. 事件绑定：在滑块按钮（mousedown）时，开始记录。
2. 轨迹记录：在mousemove事件中，以高频率（如每10-20毫秒）采集当前鼠标相对于滑块容器的位置（offsetX,offsetY），以及一个时间戳。
3. 数据封装：在mouseup事件触发时，停止记录。将收集到的所有轨迹点（可能包含上百个点）封装成一个数组。每个点的数据结构可能类似：{t: 时间戳, x: 横坐标, y: 纵坐标}。注意，这里的y坐标可能变化很小，主要是x坐标在变化。
4. 数据加工：原始的轨迹数据可能会被加工。例如，计算每个点的瞬时速度、加速度，或者对轨迹进行平滑处理（滤波），以消除录制时手抖产生的噪声。加工后的数据，才是最终被送入加密函数的数据。

实操心得：在调试轨迹采集时，可以在控制台（Console）里打印出轨迹数组。复制出来，用Python的matplotlib画个图，直观地看看自己拖动生成的轨迹是什么样的。你会发现，人工拖动的轨迹是有起伏、有变速的，而脚本生成的匀速轨迹在图上就是一条直线，这很可能就是被识别的特征之一。

3.3 加密算法识别与代码扣取策略

当我们跟随调用链，最终进入那个生成riskToken的核心函数时，就进入了最关键的环节。这个函数内部可能非常复杂，但通常由几个部分组成：

1. 数据序列化：将行为数据对象转换成字符串，可能是JSON.stringify。
2. 加密/编码：这是核心。常见的有几种可能：
   • AES/ DES 对称加密：可能会看到CryptoJS.AES.encrypt或类似的调用。需要找到key和iv（初始化向量）。这两个值可能是硬编码在JS里的，也可能是通过其他接口动态获取的。
   • RSA 非对称加密：可能会看到JSEncrypt库或类似setPublicKey的调用。公钥通常直接写在JS里或从接口返回。
   • 自定义算法：最麻烦的情况。开发者自己写了一套混淆的字符变换、位移、哈希混合的算法。这需要耐心地一步步跟，理解其每一步操作的目的。
   • Base64编码：通常作为最后一步，将加密后的二进制数据转换为可传输的字符串。可能会看到btoa或CryptoJS.enc.Base64.stringify。

扣取代码的策略：

• 最小化扣取：我们的目标不是把整个几万行的JS文件都搬过来，而是只扣取生成token所必需的最小依赖集。从核心加密函数开始，沿着它的函数调用关系向上追溯，把用到的函数、变量、对象定义都复制出来。
• 补环境：扣出来的代码片段，很可能依赖浏览器环境（window，navigator，document）或某个特定的JS库（如CryptoJS）。我们需要在Node.js或Python的execjs环境中，模拟出这些依赖。
  • 对于window、document等，可以定义一个空对象{}来占位，如果代码只是判断其是否存在而不调用具体属性，通常就能通过。
  • 对于CryptoJS这样的库，最佳方案是在Node.js环境中通过npm install crypto-js安装，然后在扣取的代码开头通过require引入。如果要在execjs中用，可能需要将整个crypto-js.js源码合并进你的执行上下文。
• 构造入口函数：将扣取的所有代码包裹在一个自定义的JavaScript函数中，这个函数接收行为数据（轨迹数组）作为输入，输出最终的token字符串。这样，在Python中就可以通过execjs调用这个函数了。

// 扣取代码后构造的示例入口函数 function getRiskToken(trackData, captchaUuid, otherParams) { // 这里粘贴所有扣取出来的依赖函数和变量定义 // ... // 假设核心加密函数是 window._0xabc.encrypt var encryptedData = window._0xabc.encrypt(JSON.stringify(trackData), window._0xdef.key); var finalToken = window._0xghi.format(encryptedData, captchaUuid); return finalToken; }

4. 轨迹模拟与Python代码复现

有了生成token的JavaScript代码，我们还需要用Python模拟出“像人一样”的拖动轨迹，然后将轨迹数据传给扣出来的JS逻辑，才能得到有效的验证参数。

4.1 人类行为轨迹建模与生成算法

完全随机的轨迹不行，匀速直线的轨迹更不行。一个相对靠谱的人类轨迹模型，应该包含以下几个阶段：

1. 启动加速：手指按下瞬间，从静止开始移动，初始加速度较大，速度快速上升。
2. 中途调整：速度达到一个峰值后，由于意识到要对准缺口，会有轻微的减速、停顿甚至小幅回拉（overshoot），速度曲线呈波浪形。
3. 减速贴合：在接近目标缺口时，开始明显减速，以便精确对齐。
4. 微小抖动：在整个过程中，由于肌肉震颤，轨迹会在主方向上叠加非常微小的随机垂直偏移。

我们可以用物理学中的匀加速/匀减速运动模型来模拟，并加入随机因子。下面是一个Python的轨迹生成函数示例：

import random import time import math def generate_track(distance): """ 生成模拟人类拖动的轨迹 :param distance: 需要拖动的总距离（像素） :return: 轨迹列表，每个元素为 [时间差, x偏移, y偏移] """ track = [] current_x = 0 current_time = 0 # 1. 启动阶段 (约占总距离30%) stage1_distance = distance * 0.3 v0 = 0 # 初速度 a = random.uniform(0.8, 1.2) # 加速度 t1 = math.sqrt(2 * stage1_distance / a) # 加速阶段时间 for i in range(int(t1 * 10)): # 每0.1秒记录一个点 delta_t = 0.1 current_time += delta_t s = v0 * delta_t + 0.5 * a * delta_t * delta_t current_x += s v0 += a * delta_t # 加入微小垂直抖动 y_offset = random.randint(-2, 2) track.append([round(delta_t*1000), round(current_x), y_offset]) # 2. 匀速微调阶段 (约占总距离50%) stage2_distance = distance * 0.5 avg_v = v0 # 从加速阶段末速度开始 t2 = stage2_distance / avg_v for i in range(int(t2 * 10)): delta_t = 0.1 current_time += delta_t # 速度有轻微波动，模拟调整 current_v = avg_v * random.uniform(0.9, 1.1) current_x += current_v * delta_t y_offset = random.randint(-3, 3) track.append([round(delta_t*1000), round(current_x), y_offset]) # 3. 减速贴合阶段 (剩余距离) stage3_distance = distance - current_x v_end = 0 # 末速度 # 使用匀减速公式 s = (v0^2 - v_end^2) / (2*a_dec)，求减速度 a_dec = (v0 ** 2) / (2 * stage3_distance) if stage3_distance > 0 else 1 t3 = v0 / a_dec for i in range(int(t3 * 10)): delta_t = 0.1 current_time += delta_t current_v = v0 - a_dec * delta_t * (i+1) current_x += current_v * delta_t y_offset = random.randint(-1, 1) track.append([round(delta_t*1000), round(current_x), y_offset]) v0 = current_v # 确保最终位置精确等于目标距离，并可能有一个“贴合”的微小回拉 if abs(current_x - distance) > 1: track.append([50, distance, 0]) # 一个快速的修正 else: track.append([random.randint(30, 100), distance, 0]) # 最后的停顿 return track

4.2 扣取JS代码的Python集成与调用

轨迹生成后，我们需要用Python调用之前扣取的JavaScript代码来加密。这里主要使用execjs库。

首先，确保已安装PyExecJS和Node.js环境：

pip install PyExecJS

然后，将我们扣取并封装好的JavaScript代码保存为一个字符串，或者放在一个.js文件中。这里假设我们保存为sm_slider.js，其中暴露了一个名为get_sm_token的全局函数。

import execjs import json # 1. 读取扣取的JS代码 with open('sm_slider.js', 'r', encoding='utf-8') as f: js_code = f.read() # 2. 创建JS执行上下文 ctx = execjs.compile(js_code) # 3. 生成轨迹 (假设缺口位置距离为200像素) track_data = generate_track(200) # 4. 准备其他参数 (这些参数需要从首次加载滑块的接口响应中获取) captcha_uuid = "从第一次请求获取的session id" organization = "从网页源码或请求中提取的机构标识" model = "slide" # 5. 调用JS函数生成token # 注意：根据扣取的代码，确定函数名和参数顺序 risk_token = ctx.call('get_sm_token', track_data, captcha_uuid, organization, model) print(f"生成的riskToken: {risk_token}")

4.3 完整请求流程组装与验证

生成risk_token后，我们还需要组装完整的验证请求。这需要参考第一次加载滑块页面时的网络请求。

1. 初始化请求：通常，访问页面时会有一个GET请求，返回滑块图片、缺口位置（可能是加密的）、以及一个重要的captchaUuid。我们需要解析这个响应，获取后续验证必需的参数。
2. 缺口识别：数美的缺口位置信息很可能不是明文的，而是经过加密或编码的。可能需要用扣取的JS代码中的另一个函数来解密，或者是一个固定的算法（比如Base64解码后是JSON）。这一步也可能需要简单的图像识别，但数美通常会把缺口距离信息直接给出来，只是被编码了。
3. 组装验证请求：将risk_token、captcha_uuid、organization、model以及可能有的data（包含缺口信息）等参数，按照抓包看到的格式组装成字典。
4. 发送请求并验证：使用requests.post发送验证请求。如果返回的JSON数据中code字段为1100或success字段为true，通常表示验证通过。

import requests # 假设从初始化接口获得了以下数据 init_data = { "captchaUuid": "xxxx-xxxx-xxxx", "organization": "xxxxxx", "data": {"bgImgWidth": 300, "pieceImgWidth": 50, "encryptedDistance": "AbCdEfG..."} # 加密的缺口距离 } # 解密缺口距离 (假设有对应的JS解密函数) distance_encrypted = init_data['data']['encryptedDistance'] real_distance = ctx.call('decode_distance', distance_encrypted) # 另一个扣出来的函数 # 生成轨迹和token track = generate_track(real_distance) risk_token = ctx.call('get_sm_token', track, init_data['captchaUuid'], init_data['organization'], 'slide') # 组装验证请求 verify_url = "https://captcha-api.fengkongcloud.com/api/v2/slider/verify" payload = { "captchaUuid": init_data['captchaUuid'], "organization": init_data['organization'], "model": "slide", "riskToken": risk_token, # 可能还有其他固定参数或从data中提取的参数 "data": json.dumps(init_data['data']) } headers = { "User-Agent": "你的浏览器UA", "Content-Type": "application/x-www-form-urlencoded", # 注意Content-Type，可能是form也可能是json "Referer": "页面来源", } resp = requests.post(verify_url, data=payload, headers=headers) result = resp.json() if result.get('code') == 1100: print("滑块验证通过！") # 通常这里会返回一个一次性的token，用于后续的登录或业务请求 business_token = result.get('token') else: print(f"验证失败: {result}")

5. 常见问题排查与实战避坑指南

逆向过程中，几乎一定会遇到各种报错和意外情况。这里记录几个最典型的问题和我的解决思路。

5.1 环境缺失导致的JS执行错误

问题：在Node.js或execjs中运行扣取的代码，报错ReferenceError: window is not defined或CryptoJS is not defined。

解决：

• window/document未定义：在JS代码的最顶部，添加模拟代码。

  // 在扣取的JS代码开头添加 if (typeof window === 'undefined') { global.window = {}; global.document = {}; // 如果代码用了navigator，也模拟一下 global.navigator = {userAgent: 'Mozilla/5.0 ...'}; }

• CryptoJS未定义：如果扣取的代码直接用了CryptoJS对象，你需要将完整的crypto-js库源码合并进来，或者更优雅地，在Node.js环境中通过require引入。

  // 方式一：合并源码 (适用于execjs) // 将crypto-js.min.js的内容复制粘贴到你的扣取代码前面 // 方式二：Node.js环境 (更推荐) // 确保已 npm install crypto-js // 在扣取代码开头添加 if (typeof require !== 'undefined') { var CryptoJS = require('crypto-js'); }

• 核心技巧：在浏览器的Console中，在断点处将你扣取的函数整体复制，然后手动补上模拟的window等对象，直接执行测试，可以快速定位环境问题。

5.2 加密参数动态变化与应对

问题：第一次逆向成功了，但过段时间发现token生成失败，或者生成的token被服务器拒绝。

解决：

1. 检查密钥/公钥是否动态获取：加密用的key或RSA公钥可能不是硬编码在JS里的，而是通过另一个初始化接口获取的。你需要分析滑块加载时更早的网络请求，找到返回这些密钥的接口，并在Python脚本中先请求它。
2. 检查是否有时间戳或随机数因子：加密算法可能引入了服务器时间戳或一个随机数（nonce）。你需要从第一次请求的响应中，或者从当前页面的全局变量里找到这个值，并作为参数传入加密函数。在扣代码时，要留意函数里是否有Date.now()或Math.random()的调用。
3. 代码更新：数美可能会不定期更新前端JS代码和加密逻辑。你需要建立一种机制，定期（或失败时）重新抓取和分析最新的JS文件。可以将关键的JS文件URL和加密函数特征码记录下来，写一个简单的校验脚本。

5.3 轨迹模拟被识别与优化策略

问题：加密逻辑正确，但验证通过率很低，怀疑是轨迹模拟得不够“真人”。

解决：

1. 增加轨迹随机性：上面提供的轨迹模型只是一个基础。可以增加更多随机因素：加速段和减速段的长度比例随机、中途加入1-2次极短的停顿（delta_t突然变大）、在垂直方向（y）加入更有规律的“拟人抖动”（比如正弦波叠加随机噪声）。
2. 采集真人轨迹学习：最有效的方法是用浏览器插件或脚本，录制几十次自己手动滑动的真实轨迹，将这些轨迹数据保存下来。分析这些真实轨迹的统计特征：平均速度、最大速度、加速度分布、停顿点等。然后用算法（如随机森林）学习这些特征，或者直接从录制的轨迹库中随机选取一条进行复用。
3. 验证失败反馈分析：如果服务器返回了具体的错误码（比如RISK_001），可能代表了不同的识别原因（轨迹异常、操作过快、环境异常等）。针对不同的错误码调整模拟策略。

5.4 调试技巧与日志记录

问题：在Python中调用JS生成token，结果不对，但不知道中间哪一步出了问题。

解决：

1. 在扣取的JS代码中加入日志：在关键的步骤，比如数据序列化后、加密前、加密后，用console.log或return中间变量。在Node.js中运行可以看到输出，在execjs中可以通过修改代码，将日志收集到一个数组并最终返回。

   function getRiskToken(trackData) { var logs = []; logs.push('输入轨迹长度: ' + trackData.length); var strData = JSON.stringify(trackData); logs.push('序列化后: ' + strData.substring(0, 100)); // ... 加密过程 logs.push('最终token: ' + finalToken); return { token: finalToken, logs: logs // 同时返回日志 }; }

2. 对比调试：在浏览器中执行一次成功的滑块操作，在加密函数的入口和出口打上断点，记录下输入的轨迹数据和输出的token。然后在Python脚本中，使用完全相同的轨迹数据（直接复制浏览器里的数组）调用扣取的JS函数，看生成的token是否一致。如果不一致，说明扣取的代码或环境有问题；如果一致，说明问题出在轨迹生成上。
3. 分步验证：将加密过程拆解。先确保能正确生成序列化字符串，再确保每一步加密/编码的中间结果都和浏览器里的一致。

逆向分析是一个需要极大耐心和细致观察力的过程。每一个滑块验证码的实现都有其特点，没有一成不变的解决方案。核心思路——从网络请求反推、定位关键函数、补全执行环境、模拟人类行为——是通用的。面对数美这样不断升级对抗策略的服务，保持对代码变化的敏感，建立一套自己的分析工具链和调试方法论，比掌握某一个具体的破解技巧更为重要。