网页代码不熟悉，求讲解

ForGot_227 · 发表于 2021-4-2 09:03

本帖最后由 ForGot_227 于 2021-4-2 14:09 编辑

[HTML] 纯文本查看 复制代码

<script>
    (function () {
        var bp = document.createElement('script');
        var curProtocol = window.location.protocol.split(':')[0];
        if (curProtocol === 'https') {
            bp.src = 'https://zz.bdstatic.com/linksubmit/push.js';
        }
        else {
            bp.src = 'http://push.zhanzhang.baidu.com/push.js';
        }
        var s = document.getElementsByTagName("script")[0];
        s.parentNode.insertBefore(bp, s);
    })();
    var action = "home";
    var url = "";
    grecaptcha.ready(function () {
        grecaptcha.execute('6LcZ5vgUAAAAAJCVlcdL65RiFwpBzqvScjFt0mUx', {action: action}).then(function (token) {
            $.post("/robot/check", {url: url, token: token, action: action}, function (data) {
                if (data.status == 'success') {
                    if (data.data.hasOwnProperty("url")) {
                        location.href = data.data.url
                    }
                } else {
                    alert("你的IP访问异常，未通过机器人检测，现在已被流量管控，如果错误请联系管理员Email")
                }
            }, "json");
        });
    });

</script>

代码如上，我用python 通过各种方法访问发现有机器人告警，我看出大概代码是这部分，然后我想了解这部分是什么逻辑。

我搞完了，暂时不会去折腾这个网站啦，谢谢各位

小公主々 · 发表于 2021-4-2 09:05

本帖最后由小公主々于 2021-4-2 09:24 编辑

1. 乍看，像是验证码校验，excute方法没有展示出来，猜测。
2. 后面就是 ajax调用post方法check数据。
3. check返回成功则跳转url
4. check返回失败则拦截打回请求

总结：不出意外的话，应该是token登录权限校验机制

再加上这个方法名见名知意 "hasOwnProperty",基本就是鉴权然后跳转自己的权限url。

楼主给个热心即可

fankangfan · 发表于 2021-4-2 09:18

6LcZ5vgUAAAAAJCVlcdL65RiFwpBzqvScjFt0mUx
这一串东西并没有通过检测，这串东西看着很像token，也有可能是请求头的一些鉴权信息

qPHPMYSQL · 发表于 2021-4-2 09:22

跟上面两位说的一样，不出意外是token验证没通过，或者是通过了但是频繁请求被屏蔽ip了

ForGot_227 · 发表于 2021-4-2 09:47

小公主々发表于 2021-4-2 09:05
1. 乍看，像是验证码校验，excute方法没有展示出来，猜测。
2. 后面就是 ajax调用post方法check数据。
3 ...

上面有个百度验证，我更新下

ForGot_227 · 发表于 2021-4-2 09:56

qPHPMYSQL 发表于 2021-4-2 09:22
跟上面两位说的一样，不出意外是token验证没通过，或者是通过了但是频繁请求被屏蔽ip了

应该就一次吧，我没写循环的。连try都没写就 request.urlopen

SpeII · 发表于 2021-4-2 10:04

https://zz.bdstatic.com/linksubmit/push.js，有图片验证，你没通过

小公主々 · 发表于 2021-4-2 10:10

ForGot_227 发表于 2021-4-2 09:47
上面有个百度验证，我更新下

1.你贴出来的这段，基本意义不大
2.这段就是判断请求是http or https
3.然后你百度一下grecaptcha 这个单词，我原本以为是个封装好的对象，搜出这个单词“reCAPTCHA”，到这就明白了，常玩google的都熟悉，咱们论坛登录那块验证也类似这个，人机验证码验证机制。
4.所以还是真人校验+token校验

sail2000 · 发表于 2021-4-2 10:47

活人认证没通过

ForGot_227 · 发表于 2021-4-2 10:58

sail2000 发表于 2021-4-2 10:47
活人认证没通过

有方法过吗？

帐号		自动登录	找回密码
密码			注册[Register]

[求助] 网页代码不熟悉，求讲解

免费评分