某鹅通js逆向

某鹅通js逆向

[b] 开始图片好像出问题了，用的githup做图床，有点问题，重新编辑了一下
群里一直有小伙伴，不知道咋下载某鹅通的视频，这里说一下我的逆向过程（开始那个某利威的确实不怎么详细，逻辑也很胡乱，主要是我不知道有挺多小伙伴需要这个，我当时就随便写写，记录一下，也没想有多少人看）**

1.首先找m3u8链接

这里我们直接抓包，可以看到，这个m3u8链接

https://mmbiz.qpic.cn/mmbiz_png/CkZ7NDNJbiahbHQMeA5oz0jRceTnraos2DgibsSVAvHyXODhUtoDErxosDlaV8s9osAMEuUFic2J7uBevNw5IO3rA/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1

这个抓包过程就不赘述了，我们看一下这个m3u8的返回。

https://mmbiz.qpic.cn/mmbiz_png/CkZ7NDNJbiahbHQMeA5oz0jRceTnraos2xHXnrdaLYrcekTJPpuiaAhB2KusVqnficvfhWtkNWr0RbV8pozY0JK3A/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1

可以看到，这个返回的是一串字符，看来是加密的。

2.寻找解密代码

这个m3u8文本是加密的，但是他肯定要解密后才能进行解析，所以，我们要找到他的解密代码。这里对这个m3u8解密视频的key下一个断点。

https://mmbiz.qpic.cn/mmbiz_png/CkZ7NDNJbiahbHQMeA5oz0jRceTnraos2OkQBu5tjakWP3KNBPYNvCzBSNtSibVKeWBKGibeDtCJpL8Pu746JCy4g/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1

就是这个链接。

查看一下他的发起程序。

https://mmbiz.qpic.cn/mmbiz_png/CkZ7NDNJbiahbHQMeA5oz0jRceTnraos2CXib0gliaOicgrD3xWqKgqOCxYic8qanqJYicp56M9icgnzzw0BkENibGOiagg/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1

可以看到一个loadkey，既然已经loadkey了，那肯定在这个之前就已经解密完成了，我们再往下移一下看看。

https://mmbiz.qpic.cn/mmbiz_png/CkZ7NDNJbiahbHQMeA5oz0jRceTnraos2cTH1fPs5TicVI5Uw3Qe3jngoaPjiccfGOCGI5V1SYcLdia1G8MRE5ibREA/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1

可以看到这个loadsuccess，这个很可疑。点进入看一下。

https://mmbiz.qpic.cn/mmbiz_png/CkZ7NDNJbiahbHQMeA5oz0jRceTnraos2mjoL6pNqYxsqCicfXiajo5PA3JaPicrEO7fhcJGzCSeyYKicME9wIYnaUA/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1

可以看到这样的代码，很熟悉，应该是对m3u8文件进行解析。看来解密不远了。先打结果断点。断住看看。

[img=1080,374]https://mmbiz.qpic.cn/mmbiz_png/CkZ7NDNJbiahbHQMeA5oz0jRceTnraos2EwwrOxBWLOia2ia5swgRLWVAetQrS5wjZscB0NbibNlx3ZRxiaSurHYHxw/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1[/img]

断住过后，找到这个解密函数，是这个D.decrypt，输出一下这个t.data。可以看到。

[img=1080,283]https://mmbiz.qpic.cn/mmbiz_png/CkZ7NDNJbiahbHQMeA5oz0jRceTnraos2OSb3ia5VrMy2cM48gqbCyZ6IKwwkHGaiaxDW5oicEDFHgSmPQPR6ib7A5Q/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1[/img]

就是没解密的数据，而 D.decrypt(t.data)就是解密后的数据。
https://mmbiz.qpic.cn/mmbiz_png/CkZ7NDNJbiahbHQMeA5oz0jRceTnraos2tgwmEyVrSYJMtLa8oNDeOI11icj3zKEwjK2VcB7I6ECbaJJCzq00Wmw/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1

3.进入D.decryp函数

https://mmbiz.qpic.cn/mmbiz_png/CkZ7NDNJbiahbHQMeA5oz0jRceTnraos229XiaINNTNL77LEFJor3Xg8vzLibcQGre0xDmNdib4eppT74Zu4Pns88Q/640?wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1

进入到decrypt函数，可以看到这些东西，乍一看，人都麻了，这一定是混淆了吧？头都大了，殊不知，这都是障眼法。他是直接运行了这样一行代码。

return t[y[1] + m[54] + y[9] + y[32] + y[26] + m[50] + y[10]](y[24] + v[50] + v[2]) > -1 ? (t = (t = (t = (t = (t = t[y[27] + m[34] + v[29] + y[58] + m[58] + y[30] + y[32]](m[27] + m[42] + v[2], ""))[y[27] + y[32] + m[17] + y[58] + m[58] + y[30] + m[34]](/@/g, y[35]))[m[60] + y[32] + y[19] + m[55] + y[12] + y[30] + y[32]](/#/g, m[44]))[m[60] + m[34] + v[29] + m[55] + v[2] + y[30] + v[8]](/\$/g, y[48]))[v[58] + v[8] + y[19] + v[53] + m[58] + y[30] + v[8]](/%/g, v[11]),I(O(t))) : t