当前位置：首页 > news >正文

数美验证码逆向实战：我是如何一步步破解其滑动验证逻辑的（含关键参数详解）

news 2026/6/8 7:38:38

数美验证码逆向实战：我是如何一步步破解其滑动验证逻辑的（含关键参数详解）

那天下午，我正在调试一个电商数据采集脚本，突然页面弹出个蓝色滑块——数美验证码。鼠标刚碰到滑块，整个页面就卡死了三次。作为常年和验证码打交道的开发者，我意识到这次遇到了硬骨头。数美的验证机制明显比普通滑动验证复杂得多，那些看似随机的加密参数背后，究竟藏着怎样的验证逻辑？我决定打开Chrome开发者工具，开始这场逆向探险。

1. 初探验证流程：从表面行为到核心请求

第一次触发验证码时，浏览器会向https://captcha.fungkongcloud.cn/ca/v1/register发送GET请求。关键参数包括：

GET /ca/v1/register?organization=RlokQwRlVjUrTUlkIqOg&model=slide HTTP/1.1 Host: captcha.fungkongcloud.cn

返回的JSON数据中藏着两个重要信息：

bg：背景图Base64编码
fg：滑块图Base64编码
rid：本次验证会话的唯一ID（后续所有请求必须携带）

注意：organization参数是固定值，不同客户可能有不同的组织ID，但同一业务场景下该值通常不变。

当用户滑动滑块后，会触发第二个关键请求：

POST /ca/v2/fverify HTTP/1.1 Content-Type: application/x-www-form-urlencoded dl=JEuzdY8i9I+qVaQ18tk7bNR81HzNJ6p3&dy=VwjI0tpz4Ls=&rid=20211230195131423676c844cb4f2305

这个请求包含12个加密参数，其中最值得关注的是：

dl：滑动距离相关
dy：时间相关
lx/xy：验证码尺寸
nm：最长的那串加密数据

2. 逆向突破口：定位加密核心函数

通过抓包发现，所有验证请求都来自一个名为captcha-sdk.min.js的文件。在Chrome的Sources面板中，我给所有XMLHttpRequest调用处打了断点。当滑块被释放时，调试器在下面这个位置暂停：

function _0x4cbace() { var _0x524c4f = { 'dl': _0x3e0191(0x373)(_0x35e027, _0x1fd7c4), 'dy': Date.now() - _0x842e32 }; return _0x524c4f; }

关键发现：

_0x3e0191(0x373)实际指向getEncryptContent函数
加密需要两个输入：原始数据(_0x35e027)和密钥(_0x1fd7c4)
时间戳差值通过简单算术计算得到

参数解密对照表：

参数名	明文含义	加密方式	示例值
dl	滑动距离/300	AES加密+Base64	JEuzdY8i9I+qVaQ18...
dy	滑动耗时(毫秒)	直接Base64编码	VwjI0tpz4Ls=
lx	验证码区域宽度	动态密钥加密	bKxCDLZXEH4=
nm	浏览器环境指纹	RSA公钥加密	G5IEMsVqTPv2/QLu...

3. 关键参数逆向详解

3.1 滑动距离dl的生成逻辑

在滑块释放事件中，通过以下代码计算实际滑动距离：

const track = document.querySelector('.slide-track'); const distance = track.offsetWidth * (sliderPosition / 300); const encrypted = CryptoJS.AES.encrypt( distance.toString(), dynamicKey ).toString();

这里有几个技术要点：

300是固定分母，可能是为了归一化不同尺寸的滑块
动态密钥(dynamicKey)每次验证都会变化，从注册接口返回的k参数获取
最终输出经过AES加密后再做Base64编码

3.2 时间参数dy的猫腻

看似简单的毫秒级时间差，实际上有严格校验：

const startTime = performance.now(); // ...滑动过程中... const endTime = performance.now(); const timeDiff = Math.round(endTime - startTime); // 服务端会检查： // 1. 时间差是否在200-5000ms合理区间 // 2. 加速度是否符合人类操作曲线

重要提示：模拟滑动时建议添加随机延迟，直线匀速移动会被识别为机器行为。

3.3 最复杂的nm参数

这个长达500+字符的参数实际上是浏览器指纹的加密组合，包含：

WebGL渲染信息：

const canvas = document.createElement('canvas'); const gl = canvas.getContext('webgl'); const debugInfo = gl.getExtension('WEBGL_debug_renderer_info'); const renderer = gl.getParameter(debugInfo.UNMASKED_RENDERER_WEBGL);

字体列表：

const fonts = new Set(); document.fonts.forEach(font => fonts.add(font.family));

音频指纹：

const audioContext = new AudioContext(); const oscillator = audioContext.createOscillator();

这些信息经过SHA-256哈希后，用服务端公钥加密生成最终nm参数。这也是最难模拟的部分——需要保持指纹一致性。

4. 绕过验证的实战技巧

经过两周的逆向分析，我总结出数美验证码的三大弱点：

弱点一：静态参数可复用

organization、appId等参数在相同业务场景下固定不变
sdkver、version等版本号很少更新

弱点二：时间校验有容忍区间

200-1500ms的滑动时间都能通过
允许10%的轨迹偏差

弱点三：环境检测有缓存

同一会话中nm参数只需验证一次
可提前生成并缓存有效指纹

具体实现方案：

class ShumeiBypass: def __init__(self): self.cached_nm = None self.rid = None def get_fingerprint(self): if not self.cached_nm: # 生成浏览器指纹并加密 self.cached_nm = generate_encrypted_fp() return self.cached_nm def slide_verify(self, distance): params = { 'dl': encrypt_distance(distance), 'dy': random.randint(300, 800), 'nm': self.get_fingerprint(), 'rid': self.rid or get_new_rid() } return post_verify(params)