JS逆向实战：定位QQ音乐VMP加密核心函数_getSecuritySign与_

1. 项目概述：从新手视角看QQ音乐VMP逆向的挑战

如果你刚接触JS逆向，看到“VMP加密”、“_getSecuritySign”、“__cgiDecrypt”这些词，可能会觉得头大。这很正常，因为QQ音乐作为一款国民级应用，其前端安全防护体系是商业级的，尤其是对核心API请求参数的加密保护，直接关系到其核心业务数据的安全。我们常说的“手撕”，听起来很热血，但背后其实是与一套复杂、自动化、不断更新的保护机制进行对抗。对于新手而言，最大的坑往往不是看不懂算法，而是在茫茫的混淆代码海洋里，根本找不到算法在哪里。你可能会在Chrome开发者工具的Sources面板里，面对数万行被压缩、变量名被替换成_0x12ab3c这类无意义字符的代码感到绝望，更别提这些关键函数还可能被VMP（Virtual Machine Protection，虚拟机保护）技术进一步包裹和隐藏。所以，这个指南的核心目的，不是教你从零开始写解密算法，而是帮你建立一套高效的“寻路”方法论，让你能在一片混沌中，精准地找到那两个关键的函数入口——_getSecuritySign和__cgiDecrypt。掌握了定位方法，后续的算法分析、参数还原乃至自动化脚本编写，才有了坚实的基础。无论你是想研究其数据接口，还是学习高强度的前端保护技术，这都是必须跨越的第一道门槛。

2. 核心思路拆解：逆向工程中的“定位”哲学

在逆向工程中，“定位”远比“破解”更前置，也往往更考验工程师的耐心和技巧。面对QQ音乐这样级别的目标，我们不能像无头苍蝇一样去“猜”或者“碰运气”，必须有一套清晰的策略。我的核心思路可以概括为“由外而内，动静结合，特征锚定”。

2.1 由外而内：从网络请求反推关键函数

这是最根本的切入点。我们所有的逆向工作，最终都是为了复现或理解某个网络请求的生成过程。因此，我们的起点必须是浏览器开发者工具（F12）中的Network（网络）面板。你需要找到一个典型的、携带了加密参数的请求，比如获取歌曲列表或播放地址的接口。仔细观察其请求载荷（Payload），你会发现一些规律性的加密字段，最常见的就是sign、_sign或securitySign等。这些字段的值通常是一长串看似随机的十六进制字符串或Base64编码字符串，它们就是由_getSecuritySign这类函数生成的。而响应数据如果也是加密的（表现为一堆乱码），那么解密它的函数很可能就是__cgiDecrypt。所以，第一步永远是：记录下目标请求的URL、请求参数（尤其是加密参数名和示例值）、以及加密的响应体片段。这是你后续所有验证工作的“标准答案”。

2.2 动静结合：XHR断点与堆栈调用的威力

静态分析（看代码）在高度混淆和VMP保护下效率很低，我们必须借助动态分析（运行时代码调试）。这里最强大的工具就是XHR/Fetch断点。在Chrome DevTools的Sources面板中，找到“XHR/Fetch Breakpoints”，点击“+”号，添加一个包含目标接口URL关键字的断点（例如包含“music.qq.com”或具体的接口路径）。设置好后，当浏览器发起对应的网络请求时，代码执行就会自动暂停在发起请求的那一瞬间。

此时，看哪里？重点看Call Stack（调用堆栈）。调用堆栈显示了当前暂停的代码位置，以及是经过哪些函数调用才执行到这里的。你的目标，就是在这个调用链中，寻找那些看起来像是进行参数拼接、加密计算或者发送请求的函数。通常，发送请求的最终函数是XMLHttpRequest.send()或fetch()，那么在这个函数被调用之前，必然有对参数进行处理的逻辑。你需要从堆栈的底部（最开始的调用）或顶部（最近的调用）逐层点击查看，寻找可疑的代码段。一个常见的模式是：你会先找到一个通用的请求封装函数（可能叫request、ajax或http），在这个函数里，会对传入的参数对象进行遍历和处理，其中就可能调用了_getSecuritySign来生成签名。

2.3 特征锚定：利用函数名与代码模式

即使代码被混淆，开发者有时也会保留一些关键的函数名，或者混淆后的函数名在同一个版本中具有一致性。_getSecuritySign和__cgiDecrypt这类名称，本身就带有很强的业务特征。在动态调试时，你可以在Console（控制台）中尝试通过代码补全来探测：在暂停状态下，尝试输入window._getSecuritySign或window.__cgiDecrypt，看是否能找到对应的函数引用。或者，在Sources面板中全局搜索（Ctrl+Shift+F）这些字符串。虽然可能搜不到原函数定义（因为被VMP隐藏了），但可能会找到调用它们的地方，这同样是重要的线索。

此外，关注代码模式。加密函数内部常常包含对CryptoJS、window.asign、MD5、SHA、HMAC等关键词的引用，或者有明显的位运算、循环操作。解密函数则可能包含JSON.parse、对响应data字段的处理等。在动态跟踪时，留意这些模式能帮你快速判断一个函数是否是你的目标。

3. 实操环境准备与工具链配置

工欲善其事，必先利其器。面对VMP，我们需要更专业的工具来辅助分析。

3.1 浏览器与开发者工具

首选最新版的Google Chrome或基于Chromium的Microsoft Edge。其开发者工具功能最全面、稳定。务必熟悉以下几个核心功能：

Network面板：记录网络请求，重点查看Headers（特别是Form Data或Payload）和Response。勾选Preserve log（保留日志）防止页面跳转后请求记录消失。
Sources面板：核心调试战场。掌握设置断点（行号处点击）、条件断点（右键行号）、XHR/Fetch断点、事件监听器断点的方法。
Console面板：执行JavaScript代码、查看变量、进行函数探测。学会使用console.trace()在代码中插入来打印调用堆栈。
Overrides（重写）功能：在Sources面板的Filesystem下，可以将在线JS文件映射到本地文件夹。这样你修改本地的JS文件，刷新页面后浏览器会加载你修改后的版本，用于持久化地注入调试代码或打补丁，是绕过反调试的利器。

3.2 必备的浏览器插件

ReRes：一款资源重定向插件。你可以将线上特定的JS文件（比如那个被VMP保护的核心vendor.js）映射到本地一个你已经格式化、并添加了注释的版本，极大提升静态分析的可读性。
EditThisCookie或Cookie-Editor：方便地查看、编辑和删除Cookie。某些签名算法可能会用到Cookie中的特定值。
SwitchyOmega：管理代理，在某些需要抓包或切换环境的场景下有用。

3.3 高级逆向调试工具

当常规方法失效时，这些工具能提供更深层的控制：

Frida：一个动态插桩工具包。可以注入自己的脚本到目标进程（浏览器或客户端）中，拦截、修改函数调用，甚至直接调用内存中的函数。对于VMP保护的函数，有时可以通过Frida去Hook其输入输出，从而黑盒分析其行为。不过对纯Web环境支持需要配合frida-inject等，更常用于客户端逆向。
Charles / Fiddler：抓包工具。不仅可以查看HTTPS流量（需安装证书），更重要的是它们的**断点（Breakpoints）和重写（Rewrite）**功能。你可以在请求发出前中断并修改参数，或者在响应返回前中断并修改响应数据，这对于测试加密解密逻辑是否正确非常有效。例如，你可以尝试修改一个请求参数，看服务端返回的签名错误信息，来验证哪个参数参与签名。
Node.js环境：最终为了将逆向成果转化为可用的爬虫或工具，你需要用Node.js来复现JavaScript代码。准备好axios（网络请求）、crypto-js（加密算法库）、puppeteer（无头浏览器，用于处理最复杂的、无法直接剥离的JS环境）等常用库。

注意：使用任何抓包或调试工具时，请务必仅在你自己有合法权限的网站或应用上进行学习与研究，严格遵守相关法律法规和服务条款。本指南仅用于安全技术研究交流。

4. 动态追踪实战：定位 _getSecuritySign 函数

假设我们目标是一个获取歌曲详情的接口，其请求参数中有一个sign字段。我们开始实战。

4.1 捕获目标请求并设置断点

打开QQ音乐网页版，进入任意歌曲页面。
打开DevTools的Network面板，勾选Preserve log，并清空现有记录。
触发一次歌曲信息的加载（比如点击播放或刷新页面）。
在Network面板中，寻找接口URL包含fcg、vkey、detail等关键词的请求，点击查看其Payload，确认存在sign或_sign参数。记录下这个请求的完整URL。
在Sources面板的“XHR/Fetch Breakpoints”中，添加一个新断点。由于QQ音乐的接口域名可能较多，一个比较宽泛但有效的策略是添加一个包含其主域名（如qq.com）的断点，或者更精确地使用接口路径中的关键字（如fcg）。这里为了演示，我们添加一个包含music.qq.com的断点。

4.2 分析调用堆栈与定位参数处理逻辑

触发断点后，代码执行会暂停。此时立即查看Call Stack面板。
调用堆栈通常从上到下（或从下到上）展示了函数调用链。最顶层（或最底层）通常是send或fetch。我们需要寻找在send之前，对请求参数进行处理的函数。
从send附近开始，逐层点击堆栈中的函数。每点击一个，右侧代码区就会跳转到对应的位置。你需要快速浏览代码，寻找以下特征：
- 参数对象：寻找一个可能是包含所有请求参数的对象（比如叫params、data、e等）。
- 循环或赋值：寻找对这个参数对象进行属性赋值（如params.sign = ...）或者进行Object.assign合并的操作。
- 函数调用：寻找类似t = o(n)或r = i.sign(r)这样的函数调用，其中r可能就是参数对象，n可能是某个密钥或原始数据。
这个过程可能需要点击多个堆栈帧。当你发现某个函数中，明显有一个变量被计算后赋值给了参数对象的sign属性时，就找到了关键位置。计算这个值的函数，很可能就是_getSecuritySign或者其内部的某个子函数。

4.3 验证与追踪函数定义

找到疑似计算sign的代码行，例如e.sign = c(e, t)。将鼠标悬停在函数名c上，DevTools可能会显示其定义位置。或者，你可以右键点击c，选择“Show function definition”（如果有的话）。
如果不行，就在这一行打上普通断点，然后取消XHR断点，按F8（继续执行）让请求发出。刷新页面再次触发请求，代码会停在你刚打的断点上。
此时，按F11（Step into）步入这个c函数内部。现在你就进入了签名计算的核心逻辑。
进入后，观察这个函数的代码。即使被混淆，你也可以通过console.log（在Console面板直接输入）来打印输入参数和中间变量。例如，在函数第一行输入console.log('输入参数:', arguments)，然后按F8继续，就能在Console看到具体的值。
反复使用F10（Step over）和F11，结合console.log，跟踪整个计算流程。你最终会发现，这个函数要么是_getSecuritySign本身，要么会调用另一个函数，那个函数可能就是_getSecuritySign。通过查看调用堆栈，你也能看到这个函数的实际名称（如果未被完全混淆）。

4.4 处理VMP保护的特殊情况

如果_getSecuritySign被VMP保护，你在步入时可能会进入一个非常庞大、复杂的虚拟机解释执行代码中，里面全是switch-case和状态跳转，几乎不可读。这时，定位策略需要调整：

黑盒测试法：不过度纠结内部实现。在调用_getSecuritySign的地方（即进入VMP之前），通过console.log完整记录其输入参数。然后，在函数执行后，立即记录其返回值（即签名值）。通过多次不同的请求，收集多组“输入-输出”对。
Hook法：在Console中，尝试使用JavaScript重写（Hook）这个函数。例如，如果已知函数挂在window对象上，可以执行：
```
var original_getSecuritySign = window._getSecuritySign; window._getSecuritySign = function() { console.log('_getSecuritySign 被调用，参数:', arguments); var result = original_getSecuritySign.apply(this, arguments); console.log('_getSecuritySign 返回值:', result); return result; }
```
这样，每次调用都会自动打印日志，方便你收集数据。这对于分析签名算法的输入输出规律至关重要，即使你不知道内部实现，也能为后续的模拟提供数据基础。

5. 逆向解密流程：定位 __cgiDecrypt 函数

响应解密函数__cgiDecrypt的定位思路与签名函数类似，但触发点不同。它发生在网络请求返回之后，数据被消费之前。

5.1 寻找响应处理入口

同样在Network面板找到目标请求，这次我们关注Response标签页。如果响应数据是一堆乱码（非JSON格式），那基本可以确定被加密了。
在Sources面板设置XHR/Fetch断点时，我们不仅可以断请求的发送，也可以断请求的响应。在“XHR/Fetch Breakpoints”处，断点条件可以更具体，比如URL包含某个路径且是响应阶段。更通用的方法是使用事件监听器断点。
在Sources面板的“Event Listener Breakpoints”中，展开“XHR”类别，勾选readystatechange事件。因为XMLHttpRequest在接收到数据时会触发这个事件。
触发请求，当断点命中时，查看调用堆栈。这次我们要寻找的是处理responseText或response数据的函数。

5.2 追踪数据解密过程

在调用堆栈中，寻找那些在接收到数据后（readyState为4，status为200）执行的函数。
步入这些函数，寻找对响应文本进行操作的代码。关键特征包括：
- 对xhr.responseText或response.data的赋值操作。
- 调用JSON.parse()之前，可能有一个解密函数对字符串进行处理。
- 类似var decryptedData = d(encryptedResponse)的调用。
找到疑似解密的函数调用后，采用与定位_getSecuritySign相同的方法：下断点、步入、打印日志。__cgiDecrypt函数的名字可能直接出现在代码中，也可能被混淆成一个短变量名。
验证它是否是解密函数：在函数内部打印其输入（加密字符串），在函数返回后打印其输出。如果输出变成了可读的JSON字符串，那就找对了。

5.3 处理异步与Promise链

现代前端大量使用Promise和async/await，解密逻辑可能被封装在.then()链或await之后。这会给调用堆栈追踪带来一些干扰。一个技巧是，在Network面板中，右键点击目标请求，选择“Copy -> Copy as fetch”。这会在Console生成一个类似的fetch请求代码。你可以手动执行这段代码，并在其后追加.then(res => res.text()).then(text => { console.log(text); debugger; return text; })。这样，当响应文本到达时，debugger语句会强制中断执行，此时你就在Promise的处理链中，可以更方便地查看解密逻辑被调用的上下文。

6. 静态分析与代码还原技巧

动态定位到函数后，我们需要进行静态分析来理解其算法。由于VMP和混淆，直接阅读几乎不可能，我们需要借助工具进行初步还原。

6.1 代码格式化与重命名

使用浏览器开发者工具自带的“Pretty print”（美化打印）功能（Sources面板中那个{}图标），将压缩的代码格式化，使其有基本的缩进和换行。
对于映射到本地的文件（通过ReRes或Overrides），可以使用更强大的本地编辑器（如VSCode）进行格式化，并利用正则表达式进行初步的变量名替换（风险较高，可能破坏逻辑）。
关键技巧：利用AST解析与反混淆工具。对于复杂的混淆，可以尝试使用像jsnice、de4js这样的在线工具（注意代码安全），或者本地部署的javascript-obfuscator的反向工程工具（但通常效果有限）。对于VMP，目前没有通用的完美反编译工具，社区通常针对特定版本或特定VMP实现（如某数字公司的）有专门的解包工具，这需要你根据实际情况搜索。

6.2 逻辑梳理与注释

在动态调试过程中，你已经知道了函数的输入、输出以及关键的执行路径。现在，将格式化后的代码对应到你动态跟踪的路径上。

在你下断点的地方添加注释// 断点入口。
在console.log打印重要变量的地方，在代码对应位置注释上// 此处变量a为xxx。
用注释标记出你认为的算法关键步骤，如// 疑似MD5初始化、// 循环拼接参数、// Base64编码等。
如果发现函数内部调用了其他辅助函数，继续用动态跟踪的方法去理解那些辅助函数的作用，并用注释标明。

这个过程就像考古，将动态执行时观察到的“活”的现象，与静态的“死”代码一一对应起来，逐渐拼凑出完整的逻辑图。

6.3 算法识别与模拟

通过静态分析和动态日志，你需要总结出算法的步骤：

参数排序：签名通常要求所有参数按字典序排序。
拼接规则：参数名和值以=连接，参数之间以&连接，最后可能拼接一个固定密钥或从Cookie/本地存储获取的token。
哈希算法：对拼接后的字符串进行哈希（MD5、SHA1、SHA256等）。在代码中寻找CryptoJS.MD5、createHash(‘md5’)等特征，或者寻找包含0123456789abcdef常量、位移运算>>>、模运算& 0xff的代码块，这可能是MD5的实现。
二次处理：哈希结果可能再被Base64编码、截取特定长度、或与时间戳等进行二次计算。对于__cgiDecrypt，可能是AES、DES或自定义的XOR流加密。寻找CryptoJS.AES.decrypt、createDecipheriv等关键词，或者寻找涉及S-Box（置换盒）的复杂循环。

7. 常见问题排查与实战心得

7.1 断点无法命中或瞬间跳过

原因1：代码被动态加载或eval执行。解决方案：在Sources面板的“Event Listener Breakpoints”中勾选script相关的scriptFirstStatement，或者在代码可能被加载的位置使用debugger;语句。
原因2：反调试检测。一些网站会检测开发者工具，导致代码行为异常或无法调试。解决方案：
- 使用setTimeout包裹debugger语句，或使用条件断点。
- 尝试在无痕模式下调试。
- 使用浏览器插件如Disable DevTools Detection。
- 最根本的方法是使用Overrides功能，在本地JS文件中删除或修改反调试代码片段。

7.2 定位到的函数内部逻辑极度复杂（VMP）

策略调整：接受无法完全逆向VMP内部逻辑的现实。采用“黑盒”+“Hook”策略。核心目标是确定函数的输入输出映射关系。
数据收集：编写一个Hook脚本，批量、自动化地收集该函数在不同输入下的输出。构建一个足够大的数据集。
外部模拟：如果算法不是强随机（如依赖时间戳、随机数），尝试在Node.js环境中，用已知的加密库（crypto-js,node-forge等）根据观察到的输入输出规律，暴力猜测或枚举可能的算法组合。有时，算法只是标准哈希的简单变种。

7.3 算法依赖浏览器环境变量

问题：签名算法可能使用了window.navigator.userAgent、window.performance.timing、甚至Canvas指纹等浏览器特有信息。
解决方案：在Node.js复现时，需要模拟这些环境。使用puppeteer或playwright这类无头浏览器库是最稳妥的，它们提供了完整的浏览器环境。如果追求效率，可以尝试在Node.js中全局定义这些变量（global.window = { navigator: { userAgent: ‘…’ } }），但兼容性可能不佳。

7.4 签名或解密算法频繁变更

现实：商业应用的核心加密逻辑会不定期更新。
应对：
1. 监控：建立自动化脚本，定期测试你的解密方法是否依然有效。
2. 模块化：将定位、解密逻辑封装成独立、可配置的模块。当算法变更时，你需要重新执行一次“定位-分析”的流程，但核心的调试和Hook工具链可以复用。
3. 降级：如果网页版防护太强，可以评估是否有其他数据源，如移动端API（可能防护不同）、合作伙伴接口等，但这涉及更复杂的逆向和更高的法律风险。

7.5 个人心得：耐心与记录

逆向是一个极度需要耐心和细致的工作。我最深刻的体会是：好记性不如烂笔头。一定要养成随时记录的习惯。

记录每一个断点位置和当时的变量状态。
保存每一次重要的网络请求（cURL命令或原始头信息）。
对关键函数截图或保存代码片段。
使用思维导图工具绘制函数调用关系和数据处理流程。建立你自己的“逆向笔记”，当下次遇到类似问题或目标网站更新时，这些记录能帮你快速找回状态，效率提升不止一倍。逆向不是蛮干，是策略、工具和经验的结合。从定位开始，一步步拆解，你总能找到那条通往核心逻辑的路径。