【求助】抓包北京自来水小程序

angelyangw · 发表于 2022-6-30 18:40:06

本想抓自来水的api，抓是抓到了，具体地址大概是这样https://www.bjwatergroupkf.com.c ... 9AEC&noEncrypt=
传入的三个参数timestamp、nonce、sign看起来是加密的，有没有大佬有啥办法解决？

而且，奇葩的是，返回的数据也加密 ...

involute · 发表于 2022-6-30 19:57:01

本帖最后由 involute 于 2022-7-1 02:13 编辑

不是加密，第一个是时间戳，第二个是个本地生成的随机序列，第三个是签名，十六进制的串，算法不是md5就是sha，具体你得看网页中的源代码了，估计是用上了时间戳和这个随机数。

而且看这个接口getBindAccountList，又是个Bind和Bound不分的二货，强迫症好难受。

你这个get请求的params里应该不含有认证信息，看看header里是不是有token之类的玩意。

hellowood · 发表于 2022-7-1 10:18:02

必须要搞到源码才能知道签名和加解密的规则；可以找下微信小程序源码反编译的文档；Windows 上登录微信打开小程序应该会更容易，但是不知道现在还能不能反编译了

angelyangw · 发表于 2022-7-2 08:54:36

involute 发表于 2022-6-30 19:57
不是加密，第一个是时间戳，第二个是个本地生成的随机序列，第三个是签名，十六进制的串，算法不是md5就是s ...

header里确实有token 这个已经找到了
问题是这个随机串，回头试试能不能找到算法了

		自动登录	找回密码
密码			立即注册

[技术探讨] 【求助】抓包北京自来水小程序

教程狂人

突出贡献