谁能看看这是什么加密方式？一段被加密的 URL 参数

[momox]

http://xxxx.com/post?data=Wm6Vh1V3Yy3Pzo%2fTYBhUxaUTUArUbSqrwzxIx%2f2mxAK1r8bi%2fOj2nOnq%2fUj%2fJCXE4GVqA70CEFGNC2jMcudEyA%3d%3d

其中 data 参数是加密过的 Wm6Vh1V3Yy3Pzo%2fTYBhUxaUTUArUbSqrwzxIx%2f2mxAK1r8bi%2fOj2nOnq%2fUj%2fJCXE4GVqA70CEFGNC2jMcudEyA%3d%3d

urldecode 后得到 Wm6Vh1V3Yy3Pzo/TYBhUxaUTUArUbSqrwzxIx/2mxAK1r8bi/Oj2nOnq/Uj/JCXE4GVqA70CEFGNC2jMcudEyA== 看起来像哈希

已知条件：

1.data 的格式猜测是 uid=761607&xxx=123&yyy=678 （ 761607 是确定的）

2.如果是同一个用户，则这段加密参数 urldecode 的前面不变的，后面会变动； Wm6Vh1V3Yy3Pzo/TYBhUxSo2nBTv/87yiu5bbpuf1Dvz3n3GEY6CdYGJZ4XaxLGhtXnvkRh3mkC53YhgQFADyw==

Wm6Vh1V3Yy3Pzo/TYBhUxaUTUArUbSqrwzxIx/2mxAK1r8bi/Oj2nOnq/Uj/JCXE4GVqA70CEFGNC2jMcudEyA==

Wm6Vh1V3Yy3Pzo/TYBhUxWXWOrHlajdHjBlrNOxbUfbmZ+7rWI0WpHuk8qC0osJfi6s/X0gNDriu/P7V7yJ9Zg==

3.这段加密参数肯定是可以在服务端解密，然后保存到数据库，所以是可逆加密算法

4.response 返回值：{"status":"ok","uid":761607,"xxx":39135736} xxx 为打码

看的出来是用什么方式加密吗？

[ThirdFlame]

base64 编码后的加密数据（长度 64 字节，符合现代密码学分组加密的规范）。 具体加密算法和密码 看是看不出来的。但是估计密钥和 iv 都没有变化过。

[momox]

@ThirdFlame 很有启发，感谢

[Eiden]

你还不如把网址发出来, 说不定谁摸鱼的有空给你看看 js, 猜哪能猜出来

[swulling]

反编译客户端，把密钥找出来

[gollwang]

自己去看 js ，前端一定存了密钥的，加密方式也在 js 里面

[yolee599]

把网址发出来大伙瞅瞅

[janus77]

做爬虫也要白嫖网友的点子是吧

[Alias4ck]

一眼 RSA 加密 不过你需要一个 public_key 大概率这个 key 它有一个 api 去生成

[momox]

是一个 Unity 游戏，不是普通 web+js

[momox]

@Alias4ck 获益匪浅

[momox]

@Alias4ck 如果是 RSA 加密，那基本很难搞，不知道秘钥的情况下

[xkang66]

根据已知条件 2：
1 、去除密文前不变字段无法 base64 解码，故不是拼接密文
2 、该加密不可能是 RSA ，RSA 每次加密密文都是变化的
3 、推断是对称算法，建议首先查看 AES

[66beta]

居然不是 https

[fkdtz]

@Alias4ck 这是从哪看出来是 RSA 加密的，文中提到同一用户加密结果中，前面是不变的，而 RSA 每次计算结果相差很多的吧

[fkdtz]

非对称加密貌似用在认证比较多，而在数据传输上用的比较少，因为性能不高。
猜测就是简单的对称加密，而且设置可能用的是最简单的 ECB 模式，因为明文不变的部分，密文也不变。

[Alias4ck]

@fkdtz 哈哈哈 我瞎猜的 因为之前碰到过类似的 加密 先是 RSA 再用 base64 套了一层 那个 js 套用的是这个库 jsencrypt( https://github.com/travist/jsencrypt)
所以就随口一说 具体情况得分析一下哈 原谅我的不专业捏

[areless]

这是通过后端密码混淆加密。前端不负责解密，只负责原封不动的返回后端。前面一样是因为要判断解密头，头不一致返回 false 。比如密文是 abcde ，密码是 123 ，加密后就是 a1b2c3d1e2 。混的是 ascii 码，加上偏移量***后就类似是 ab1cde2 这样，混入位置根据偏移量的，我经常用这种办法取代 https ，破解方法呢...呵呵

[areless]

上面方式还不能叫加密，只能算混淆。用其上原理密码偏移量 ascii 码做 xor 运算，最后 base64 编码。缺点就是加密后密文不变，不能抵御重放攻击，没有偏移量的话利用重放能...a 输入 密文是*** b 输入密文是***，那 ab 密文就是******了

[dearmymy]

你可以提示下这段包大概业务逻辑
通常发送量不大，但是重要情况下才会 rsa ，实际上一般公司都不会选择 rsa 。太麻烦。自己数据也没那么重要。
如果常规需要大量发包。aes 这种加密多些
你这种同一用户前面固定值，肯定不是 rsa 。
猜测
key+data ，解 data 的 key 就是前半部分。
你可以先试试重放攻击能成功不
这种解密不去逆向加密过程是不可能的

[ultlu]

标准化 base64 后做了 urlencode, base64 前是个 64 个字节的不可见字符。