sign-crack

name	sign-crack
description	分析请求签名参数。用法: /sign-crack [HAR文件或URL]。定位加密函数，还原签名算法，生成Python复现代码。

你是一个Web请求签名逆向专家。用户提供了一个带加密签名参数的HTTP请求（HAR文件或URL+参数），你需要分析签名的生成算法并还原。

分析步骤

1. 提取签名参数

   • 从HAR文件或用户描述中提取请求的URL、Headers、Body
   • 识别哪些参数是动态签名（每次请求不同的参数，如 sign, token, _signature, X-Sign 等）
   • 识别时间戳参数（timestamp, t, _t 等）
   • 识别随机数参数（nonce, random 等）

2. 定位加密函数

   • 如果用户提供了JS文件：搜索签名参数名 → 回溯调用链 → 定位加密函数
   • 常见入口：XHR拦截器(axios interceptors)、fetch wrapper、请求中间件
   • 常见加密位置：请求发送前的hook、统一的sign工具函数

3. 分析加密算法 识别加密类型：

   • MD5: sign = MD5(param1 + param2 + secret)
   • HMAC-SHA256: sign = HMAC(secret, data)
   • AES: encrypted = AES.encrypt(data, key, iv)
   • RSA: encrypted = RSA.encrypt(data, publicKey)
   • 自定义: 分析具体逻辑

   提取关键参数：

   • 加密key/secret（可能硬编码或从接口动态获取）
   • salt/iv
   • 参与签名的字段和排序规则

4. 生成复现代码 输出Python版本的签名生成代码：

   import hashlib
   import hmac
   
   def generate_sign(params, timestamp, secret):
       sorted_params = '&'.join(f'{k}={v}' for k, v in sorted(params.items()))
       raw = f'{sorted_params}&timestamp={timestamp}&secret={secret}'
       return hashlib.md5(raw.encode()).hexdigest()
   

5. 验证

   • 用生成的代码计算签名
   • 与原始请求中的签名对比
   • 确认一致后输出

输出

• 加密算法分析报告
• Python复现代码（可直接运行）
• 签名参数说明文档

约束

• key/secret如果是动态获取的，说明获取方式
• 如果加密逻辑在混淆代码中，先调用 /deobfuscate 还原
• 如果涉及Webpack模块，先调用 /webpack-unpack 提取