大佬们来试试我的前端加密强度

[tmtstudio]

看到大家在讨论前端的加密问题，就把我现在用的加密方案做了个 demo ，大佬们看看能破掉吗，要是能给点建议就更好了。

http://34.16.118.34，怕被大手子 gank 没用 cdn 第一次打开有点慢

[tmtstudio]

@NoobNoob030 #40 吸收了上面大佬的建议

[tmtstudio]

@jsonfork #37 老项目了，现在陆续往 easyswoole 上挪了

[lasuar]

你这两个接口也没传 text 参数

[webbillion]

请问 op 是怎么做到可以关闭标签页的，我看了下代码，确实是和 10 楼说的一样，但是我复制到自己的网页里调用时却没办法关闭网页（无论是通过链接打开新窗口还是直接输入地址）。是需要什么前置条件吗？

[linshenqi]

各种监听是吧

[frandy]

@webbillion #44 36 楼已经给出了库了,我在我的项目里实验有效,https://readmagic.github.io

[webbillion]

@frandy #46 https://github1s.com/theajack/disable-devtool/blob/master/src/utils/close-window.ts#L18-L22 这个么，确实你给出的网站和 op 给出的网址都是可以生效的，我将你这句回复里 a 标签的 href 替换为本地开发地址，再点击按钮触发这个函数，是没有反应的，也不会报 Scripts may close only the windows that were opened by them. 的错。可能还有什么隐藏机制吧，试了下纯 html 是可以的，可能我用的业务框架有做一些拦截处理。

[lisxour]

@shuxhan 把开发者工具调成单独弹窗就行了，这大概率是检测窗口大小的

[lisxour]

@tmtstudio #30 这些骚方法其实并没有什么用。。。

[huihushijie1996]

控制台直接把方法重写了可以停止关闭
function clear(){
var num = 1000000;
for(var i = 0;i<num;i++){
clearInterval(i);
clearTimeout(i);
cancelAnimationFrame(i)
}
}
window.close = function(){}
clear()
然后打上 debug 就可以调试了
然后搜索 http 就找到了
其实楼主可以把 请求地址加密用一个简单的异或加密
function or(str){
var endstr = ""
var code = 15 //可以随便取一个数字
for(var i =0;i<str.length;i++){
endstr+=String.fromCharCode((str[i].charCodeAt(0))^code)
}
return endstr
}
这样搜索就搜不到了 但是调出控制台了 还是可以在请求里面看到
抓包工具也能看到

[lisxour]

@monkeyWie 现在谁还用 flash 做交互啊，网页分分钟报错，现在的前端加密方案已经很成熟了，你随便用一个付费的，比如 Jscrambler ，就足以让 90%的人止步。

[lisxour]

@monkeyWie 就算想走本地代码，也是优先考虑 wasm 啊

[DreamingCTW]

我之前也写过打开控制台就跳转网页，确实好用。

[AhECbt]

应该跟 /t/927165 一样，什么前端加密就是掩耳盗铃，我劫持所有原生函数你跳吧。

[phpfpm]

整挺好，加密的挺好的，但是你这么搞你家的产品我就不用了。抬走换下一个。

[ZeroDu]

op 是改了吧，我这边控制台打开 网页就关了

[xz410236056]

@tmtstudio #30 先打开页面让你加载，加载好了再禁用 JS

[monkeyWie]

@lisxour #52 所以我说的是以前啊

[42is42is42]

:) 试试 https://neatnik.net/view-source/

[Al0rid4l]

先 BurpSuite 拦截响应, 在 chunk-vendors-xxx.js 里面找到 ondevtoolopen 对应的函数, 通常就在这个对象前面一点, 函数体有 setTimeout 和 timeOutUrl 这两个关键字, 修改此函数为空函数(没仔细看具体内容, 大概是反调试相关的)后放行响应, 干掉反调试, 后面可以比较愉快地调试了

反调试用的是 https://github.com/theajack/disable-devtool 这个库

在 page-index-xxxx.js 下的 onLoad 周期下调用了 this.$u.request 发起请求, 里面调用了另一个模块的 getParams({}) 来构造请求参数, 可以直接在这里给对象加入 text:'v2ex', 也可以在 getParams 里面断点, 在 aesEncrypt 加密之前修改对象, 参数 param 由 aesEncrypt 函数加密一个类似 {"h5Version":1,"public":1692855534,"private":"05b035bf90fee199b4114b97ee277571", "text": "v2ex"} 的 JSON 得到

混淆是在每个文件开头或结尾有两个函数, 一个构造各种变量名和属性名的词典, 一个从词典中取值, 对于感兴趣的关键字直接到这两个函数里面找, 然后条件断点即可, 有些关键词不在词典中而是直接作为字符串没有混淆