当前位置：首页 > news >正文

某讯滑块验证码VMP逆向实战-从JS混淆到字节码解析

news 2026/6/4 1:09:27

1. 某讯滑块验证码VMP保护机制初探

第一次遇到某讯滑块验证码的VMP保护时，我盯着那堆混淆得亲妈都不认识的JS代码发了半小时呆。这种验证码在用户滑动完成后，会向【cap_union_new_verify】接口提交五个关键参数：ua、sess、collect、eks和vData。其中ua最简单，就是个User-Agent的base64编码，用记事本都能解码验证。sess则是前序请求【cap_union_prehandle】返回的会话标识，相当于服务器给的"入场券"。

但collect、eks和vData这三个参数就有点东西了。在Chrome开发者工具里追代码时，发现它们都指向了带有__TENCENT_CHAOS_VM字样的函数调用——典型的VMP（Virtual Machine Protection）特征。这种保护机制就像把代码装进黑匣子，原本直白的JavaScript逻辑被转换成自定义的字节码指令，在私有虚拟机里执行。我见过最变态的VMP实现，连字节码都会在运行时动态变化。

2. 动态调试实战：参数生成链路追踪

2.1 关键函数定位技巧

在DevTools里搜索collect参数时，发现它来自一个叫C()的函数。这个命名风格让我想起早年破解过的某支付系统——重要函数都用单个字母命名，跟程序员玩捉迷藏。好在现代浏览器调试器支持XHR断点，在send方法下断后，终于抓到vData参数的生成时机。

这里有个骚操作：验证码居然重写了XMLHttpRequest.prototype.send！就像在快递员送货前偷偷调包包裹。通过反查调用栈，发现这个"调包"操作最终也指向VMP保护的代码区域。这种层层嵌套的保护方式，比俄罗斯套娃还让人头疼。

2.2 调用链还原实战

通过动态调试整理出完整调用链：

collect → getData() → VMP保护函数
eks → getEks() → VMP保护函数
vData → XMLHttpRequest重写 → VMP保护函数

这时候需要祭出大杀器——浏览器内存dump。用performance.takeHeapSnapshot获取内存快照，在堆内存里搜索"TENCENT_CHAOS_VM"，果然发现个巨大的字节码数组。这个数组由两部分组成：一段base64编码的字符串和一个看似随机的数字序列，合并后总长度超过3万字节。

3. VMP字节码逆向工程

3.1 虚拟机结构解析

把混淆的JS下载到本地格式化后，发现虚拟机初始化代码里有几个关键参数：

__TENCENT_CHAOS_VM(0x1000, bytecodeArray, callerObject, callStack)

经过反复测试，确认这四个寄存器的作用：

0x1000 - 程序计数器(PC)初始值
bytecodeArray - 混合了代码和数据的字节码数组
callerObject - 调用者上下文
callStack - 调用栈容器

最麻烦的是这个字节码数组会动态变化！就像玩魔方时有人偷偷拧了几下，刚摸清的指令集转眼就变。有次我刚分析完指令映射关系，刷新页面后发现操作码0x15从加法变成了异或运算，差点把键盘摔了。

3.2 自制解释器开发

为了理解虚拟机逻辑，我写了个简易解释器原型：

class VMInterpreter { constructor(bytecode) { this.pc = 0; this.stack = []; this.bytecode = bytecode; this.opcodes = { 0x10: this.handleLoadConst, 0x20: this.handleMathOp, // 其他操作码... }; } execute() { while(this.pc < this.bytecode.length) { const opcode = this.bytecode[this.pc++]; const handler = this.opcodes[opcode]; if(!handler) throw `Unknown opcode: 0x${opcode.toString(16)}`; handler.call(this); } } }

这个解释器虽然只能处理基础指令，但成功还原了部分collect参数的生成逻辑。比如发现其中包含鼠标移动轨迹的傅里叶变换结果，难怪单纯模拟滑动轨迹总是失败。

4. 反混淆与指令集动态分析

4.1 字节码变换模式识别

连续抓取十次页面加载的字节码后，终于发现变换规律：每8个字节为一组的指令头里，第3字节决定当次加载的指令集版本。通过hook Function.prototype.apply，可以捕获到运行时指令映射表：

const originalApply = Function.prototype.apply; Function.prototype.apply = function() { if(this.name.includes('CHAOS_VM')) { console.log('VM called with args:', arguments); } return originalApply.apply(this, arguments); };

用这个方法发现个彩蛋——指令集变换居然用服务器时间做种子，不同时段分析结果完全不同。有次凌晨三点抓到的版本居然包含魔兽世界彩蛋代码，腾讯工程师也是够闲的。

4.2 关键算法还原技巧

对于eks参数生成的算法还原，我采用"人肉二分法"：在字节码执行路径上设多个断点，对比输入输出变化。发现其中关键步骤包括：

取客户端屏幕分辨率与色深
混合WebGL渲染器指纹
用canvas绘制隐藏验证图
对绘制结果进行离散余弦变换

整个过程涉及37个VMP保护函数，其中有个函数特别坑——它会检测调试器存在，如果发现DevTools打开就往计算结果里掺随机噪声。最后我是用Proxy对象代理了所有Math方法调用，才抓到完整的计算流程。

5. 对抗策略与自动化方案

5.1 反检测机制突破

某讯的防自动化系统有三大杀招：

鼠标轨迹贝塞尔曲线检测
请求时序指纹
WebAssembly校验码

针对鼠标轨迹问题，我开发了基于真实人手抖动的轨迹生成器：

function generateHumanLikeTrack(start, end) { const points = []; const baseStep = (end - start) / 20; for(let i=0; i<20; i++) { // 添加随机抖动 const jitter = Math.sin(i*Math.PI/10) * (Math.random()*3-1.5); points.push(start + i*baseStep + jitter); } return points; }

对于WASM校验，则需要hook WebAssembly.instantiate方法，替换关键校验函数为始终返回true的桩函数。