抓包发现APP用的阿里云，如何搞定签名认证 x-ca-signature

cooliscool

APP用的阿里云，如何搞定签名认证，x-ca-signature

https://api.link.aliyun.com/thing/properties/set

headers = {
  'User-Agent': "ALIYUN-ANDROID-DEMO",
  'Accept': "application/json; charset=utf-8",
  'Accept-Encoding': "gzip",
  'x-ca-key': "666666",
  'content-md5': "RWi0pgG7o7wKgzXyf/0k0A==",
  'ca_version': "1",
  'x-ca-timestamp': "1715467873580",
  'date': "Sat, 11 May 2024 22:51:13 GMT+00:00",
  'x-ca-signature': "hM/PR/+9bHns4ZGV68N8nbCs5Ho=",
  'x-ca-signature-method': "HmacSHA1",
  'x-ca-nonce': "a7996d97-2c06-4ae1-b4f1-3ff3650d6dbc",
  'x-ca-signature-headers': "x-ca-key,x-ca-timestamp,x-ca-signature-method,x-ca-nonce"
}

萌萌之家

这种加密的智能家居直接放弃就好了
何必还要纠结这个

cooliscool

关键是设备已经买了，这样加密方式是不是无解的。

crazymouse

除非你能拿到源代码找到加密算法，微信小程序之类的可以找到加密的js，可以搞定算法，如果是apk的话，估计直接放弃了，或者去逆向，但逆向可就是个大工程了

lujiashun1

楼主搞定了麻烦说一下方法

cooliscool

import hashlib
import hmac
import base64
import time
from uuid import uuid4
import requests

# 配置参数
app_key = "666666"
app_secret = "your_app_secret"  # 你的 API 密钥
method = "POST"
accept = "application/json; charset=utf-8"
content_type = "application/json"
url_path = "/thing/properties/set"
url = "https://api.link.aliyun.com" + url_path
payload = "{\"id\":\"1a139d60-26d4-4292-b92f-1861b91fb75d\",\"params\":{\"items\":{\"PowerSwitch\":0},\"iotId\":\"508sTj1pdL0G89o1pJ5u000000\"},\"request\":{\"language\":\"zh-CN\",\"iotToken\":\"51a05280cdd3150c8a09d83905faa54e\",\"apiVer\":\"1.0.2\"},\"version\":\"1.0\"}"
params = {
  'x-ca-request-id': "1a139d60-26d4-4292-b92f-1861b91fb75d"
}

# 计算 content-md5
content_md5 = base64.b64encode(hashlib.md5(payload.encode('utf-8')).digest()).decode('utf-8')

# 生成时间戳和随机 nonce
timestamp = str(int(time.time() * 1000))
nonce = str(uuid4())

# 准备签名字符串
sign_headers = 'x-ca-key,x-ca-timestamp,x-ca-signature-method,x-ca-nonce'
headers_to_sign = {
    'x-ca-key': app_key,
    'x-ca-timestamp': timestamp,
    'x-ca-signature-method': 'HmacSHA1',
    'x-ca-nonce': nonce
}

sign_str = method + '\n' + content_md5 + '\n' + content_type + '\n' + accept + '\n'
for key in sign_headers.split(','):
    sign_str += key + ':' + headers_to_sign[key] + '\n'
sign_str += url_path

# 计算签名
signature = base64.b64encode(hmac.new(app_secret.encode('utf-8'), sign_str.encode('utf-8'), hashlib.sha1).digest()).decode('utf-8')

# 准备请求头
headers = {
    'User-Agent': "ALIYUN-ANDROID-DEMO",
    'Accept': accept,
    'Content-Type': content_type,
    'Content-MD5': content_md5,
    'x-ca-key': app_key,
    'x-ca-timestamp': timestamp,
    'x-ca-signature-method': 'HmacSHA1',
    'x-ca-nonce': nonce,
    'x-ca-signature': signature,
    'x-ca-signature-headers': sign_headers
}

# 发送请求
response = requests.post(url, params=params, data=payload, headers=headers)

# 打印响应
print(response.text)

cooliscool

在阿里云的 API 签名认证中，app_key 是用于标识你的应用程序的密钥，而 app_secret 则是用于计算签名的私钥。

通常情况下，app_key 是在你注册应用程序时由阿里云颁发的，而 app_secret 是你在创建应用程序时自行设置的私钥。这些密钥用于在客户端生成签名，并在服务端进行验证，以确保请求的合法性。

aourwz

啥APP啊？