当前位置：首页 > news >正文

【JS逆向实战】抖音a_bogus-1.0.1.19-fix.01-jsvmp算法全链路解析与复现

news 2026/8/12 17:56:18

1. 抖音a_bogus参数逆向工程入门指南

第一次接触抖音a_bogus参数逆向时，我也被这个由多重加密和虚拟机保护构成的复杂系统搞得一头雾水。经过几周的实战摸索，终于理清了从输入参数到最终ab参数生成的完整链路。这个过程就像拆解一个俄罗斯套娃，每一层都藏着意想不到的机关。

a_bogus参数本质上是抖音用来校验请求合法性的加密令牌，最新1.0.1.19-fix.01版本采用了SM3、魔改RC4、魔改Base64三重加密，外加JSVMP虚拟机保护。这种组合拳让常规的Hook手段几乎失效，必须采用系统性的逆向思维。举个例子，就像你要打开一个保险箱，不仅需要密码（加密算法），还得模仿保险箱主人的开锁习惯（虚拟机执行逻辑）。

逆向这个参数需要准备以下工具：

Chrome开发者工具（基础调试）
Babel/Webpack反编译工具（处理混淆代码）
自定义插桩框架（关键函数监控）
十六进制编辑器（分析二进制数据流）
密码学知识（识别加密算法特征）

2. 算法全链路拆解与实战还原

2.1 初始加密阶段：SM3双重哈希

请求参数首先会经历两次标准SM3加密，这种国密算法产生的32位数组就像算法的"身份证"。在逆向时我注意到一个细节：抖音会对原始参数先拼接"dhzx"字符串再做哈希。这相当于给数据打上专属水印，防止参数被篡改。

实际操作中可以用以下代码验证SM3阶段：

const sm3 = require('gm-crypt').sm3; const firstHash = sm3(params + 'dhzx'); const secondHash = sm3(firstHash); // 得到32位数组

2.2 UA处理：魔改RC4的陷阱

User-Agent的处理是最容易踩坑的环节。抖音先用[0.00390625,1,12]作为密钥进行RC4加密（密钥可能随环境变化），接着进行字符串转换，最后再用魔改Base64处理。这里的魔改体现在两个方面：

RC4的S盒初始化算法被调整
Base64的编码表有部分字符替换

我在还原时通过插桩发现，UA字符串会先被trim()处理，然后存入JSVMP的作用域变量U中。这步如果遗漏，后续加密结果必然出错。

2.3 动态数组生成：浏览器指纹的妙用

系统会收集navigator、screen等浏览器属性生成41位动态数组，这个设计非常巧妙：

前8位来自插件列表的哈希值
中间12位基于GPU渲染特性
后21位取自时区与语言设置

通过hook Object.defineProperty发现，这些属性访问都被JSVMP监控，任何非常规读取都会触发异常。建议在本地先缓存这些值，避免频繁访问浏览器API引起怀疑。

3. JSVMP虚拟机逆向实战

3.1 虚拟机指令集解析

抖音的JSVMP实现了一套包含75条指令的微型虚拟机，关键指令包括：

指令0：函数调用（控制流核心）
指令74：作用域变量读取（数据获取关键点）
指令20：全局变量写入（环境检测点）

通过反编译得到的d()函数就是虚拟机的指令分发器。它的工作原理类似CPU：

function d() { for(;;) { const opcode = bytecode[pc++]; // 取指令 switch(opcode) { case 0: // 函数调用 const argCount = bytecode[pc++]; const func = stack[sp - argCount]; if(typeof func !== 'function') throw new TypeError(); const result = func.apply(this, args); stack[++sp] = result; // 压入返回值 break; // ...其他指令处理 } } }

3.2 有效插桩策略

在虚拟机逆向中，盲目插桩会导致性能崩溃。我总结的最佳实践是：

先在指令0下断点，记录所有被调函数
对涉及加密操作的指令（如5/20/74）添加日志
最后监控数组操作指令（39/54）

这是经过验证的插桩配置示例：

const hooks = { 0: (ctx) => logFunctionCall(ctx), 74: (ctx) => logScopeAccess(ctx), 20: (ctx) => logGlobalWrite(ctx) };

4. 关键加密环节还原

4.1 96位数组的组装艺术

整个算法最精妙的是96位数组的组装逻辑：

50位主数组（含随机因子）
41位浏览器指纹数组
4位时间戳数组
1位校验位

通过异或运算生成的校验位就像拼图的最后一块，必须确保前三个部分的每个bit都正确。我在测试时发现，即使其他部分完全正确，校验位错误也会导致整个token失效。

4.2 128位扩展算法

96位到128位的转换采用"3变4"规则：

每3个原始数字为一组
通过特定运算生成4个新数字
余数直接保留

这个过程的JavaScript实现如下：

function expand96to128(input) { let output = []; for(let i=0; i<input.length; i+=3) { const chunk = input.slice(i, i+3); if(chunk.length === 3) { output.push(...transform(chunk)); // 3→4转换 } else { output.push(...chunk); // 余数保留 } } return output; }