网页代码不熟悉，求讲解

ForGot_227 发表于 2021-4-2 09:03

本帖最后由 ForGot_227 于 2021-4-2 14:09 编辑

<script>
(function () {
   var bp = document.createElement('script');
   var curProtocol = window.location.protocol.split(':');
   if (curProtocol === 'https') {
         bp.src = 'https://zz.bdstatic.com/linksubmit/push.js';
   }
   else {
         bp.src = 'http://push.zhanzhang.baidu.com/push.js';
   }
   var s = document.getElementsByTagName("script");
   s.parentNode.insertBefore(bp, s);
})();
var action = "home";
var url = "";
grecaptcha.ready(function () {
   grecaptcha.execute('6LcZ5vgUAAAAAJCVlcdL65RiFwpBzqvScjFt0mUx', {action: action}).then(function (token) {
         $.post("/robot/check", {url: url, token: token, action: action}, function (data) {
            if (data.status == 'success') {
               if (data.data.hasOwnProperty("url")) {
                     location.href = data.data.url
               }
            } else {
               alert("你的IP访问异常，未通过机器人检测，现在已被流量管控，如果错误请联系管理员Email")
            }
         }, "json");
   });
});

</script>

代码如上，我用python 通过各种方法访问发现有机器人告警，我看出大概代码是这部分，然后我想了解这部分是什么逻辑。

我搞完了，暂时不会去折腾这个网站啦，谢谢各位

小公主々 发表于 2021-4-2 09:05

本帖最后由小公主々于 2021-4-2 09:24 编辑

1. 乍看，像是验证码校验，excute方法没有展示出来，猜测。
2. 后面就是 ajax调用post方法check数据。
3. check返回成功则跳转url
4. check返回失败则拦截打回请求

总结：不出意外的话，应该是token登录权限校验机制

再加上这个方法名见名知意 "hasOwnProperty",基本就是鉴权然后跳转自己的权限url。

楼主给个热心即可

fankangfan 发表于 2021-4-2 09:18

6LcZ5vgUAAAAAJCVlcdL65RiFwpBzqvScjFt0mUx
这一串东西并没有通过检测，这串东西看着很像token，也有可能是请求头的一些鉴权信息

qPHPMYSQL 发表于 2021-4-2 09:22

跟上面两位说的一样，不出意外是token验证没通过，或者是通过了但是频繁请求被屏蔽ip了

ForGot_227 发表于 2021-4-2 09:47

小公主々发表于 2021-4-2 09:05
1. 乍看，像是验证码校验，excute方法没有展示出来，猜测。
2. 后面就是 ajax调用post方法check数据。
3 ...

上面有个百度验证，我更新下

ForGot_227 发表于 2021-4-2 09:56

qPHPMYSQL 发表于 2021-4-2 09:22
跟上面两位说的一样，不出意外是token验证没通过，或者是通过了但是频繁请求被屏蔽ip了

应该就一次吧，我没写循环的。连try都没写就request.urlopen

SpeII 发表于 2021-4-2 10:04

https://zz.bdstatic.com/linksubmit/push.js，有图片验证，你没通过

小公主々 发表于 2021-4-2 10:10

ForGot_227 发表于 2021-4-2 09:47
上面有个百度验证，我更新下

1.你贴出来的这段，基本意义不大
2.这段就是判断请求是http or https
3.然后你百度一下grecaptcha 这个单词，我原本以为是个封装好的对象，搜出这个单词“reCAPTCHA”，到这就明白了，常玩google的都熟悉，咱们论坛登录那块验证也类似这个，人机验证码验证机制。
4.所以还是真人校验+token校验

sail2000 发表于 2021-4-2 10:47

活人认证没通过

ForGot_227 发表于 2021-4-2 10:58

sail2000 发表于 2021-4-2 10:47
活人认证没通过

有方法过吗？

页: [1] 2

吾爱破解 - 52pojie.cn's Archiver

网页代码不熟悉，求讲解