新版 Vaptcha V4 手势验证码，逆向分析

声明

本文章中所有内容仅供学习交流，相关链接做了脱敏处理，若有侵权，请联系我立即删除！

前言

沉寂许久的 Vaptcha 近期迎来了大的更新，流程、算法都改了，手势轨迹也被混淆的更为复杂：

案例分析

目标网址：aHR0cHM6Ly9jdGJwc3AuY29tLw==
随便点击一个公告，都会触发 vaptcha 验证码，过了验证码，才能看到公告内容。抓包观察下，流程已经完全不一样了，域名都变成了 v4i.vaptcha.com：

返回 knock 参数的接口变成了 /api/v1/knock，还有一堆指纹相关的请求参数：

trajectory 对应乱序图片的下载链接，相关还原逻辑在 /verify.html 中：

验证接口还是名为 validate，同样有一堆指纹校验，trajectory 加密了手势轨迹：

新版本的 vaptcha 看起来有很多环境、指纹校验，识别出正确的轨迹，变得更为困难。
ctbpsp，vaptcha v4 算法、轨迹识别模型，均已完成，欢迎咨询，Q ~