918 字

2 分钟

扣扣音乐双参数纯算

2026-06-15

逆向

/

纯算

某音乐接口加密算法逆向分析#

一、目标概述#

本文通过对扣扣音乐Web端请求加密机制的深入分析，揭示了其核心加密算法的实现原理。分析对象为该页面发送的API请求。

二、请求结构分析#

2.1 请求参数#

通过Chrome DevTools抓包分析，发现QQ音乐API请求包含以下关键参数：

参数名	说明	示例值
`_`	时间戳（毫秒）	`1781411109906`
`encoding`	编码方式	`ag-1`（表示加密）
`sign`	请求签名	`zzc23c81b08ln0xcliusuovjw58qfbye8cy19660417`

2.2 请求体格式#

请求体为Base64编码的加密数据，服务器响应同样为加密的二进制数据。

三、Sign签名算法分析#

3.1 算法流程#

根据插桩日志分析，签名生成流程如下：

SHA-1哈希：对JSON请求数据进行SHA-1哈希，结果转换为大写十六进制字符串
索引提取：从哈希结果中按固定索引提取字符
XOR混淆：将哈希字节与固定密钥进行异或操作
Base64编码：对异或结果进行Base64编码
格式拼接：组合前缀、索引字符串和Base64结果

整体流程

3.2 核心代码实现#

1
function get_sign(data) {
2
    // 1. SHA-1 哈希（大写）
3
    data = JSON.stringify(data);
4
    const hash = crypto.createHash('sha1').update(data).digest('hex').toUpperCase();
5

6
    // 2. 固定索引提取
7
    const idx1 = [23, 14, 6, 36, 16, 40, 7, 19];
8
    const idx2 = [16, 1, 32, 12, 19, 27, 8, 5];
9
    const str1 = idx1.map(i => hash[i]).join('');
10
    const str2 = idx2.map(i => hash[i]).join('');
11

12
    // 3. 固定密钥（20字节，对应SHA-1输出长度）
13
    const key = [89, 39, 179, 150, 218, 82, 58, 252, 177, 52, 186, 123, 120, 64, 242, 133, 143, 161, 121, 179];
14

15
    // 4. 哈希字符串转字节数组
16
    const hashBytes = [];
17
    for (let i = 0; i < hash.length; i += 2) {
18
        hashBytes.push(parseInt(hash.substring(i, i + 2), 16));
19
    }
20

21
    // 5. XOR操作
22
    const xorResult = hashBytes.map((byte, i) => byte ^ key[i]);
23

24
    // 6. Base64编码并移除末尾等号
25
    const xorBuffer = Buffer.from(xorResult);
26
    const base64Sign = xorBuffer.toString('base64').replace(/=+$/, '');
27

28
    // 7. 组合结果（前缀zzc + str1 + base64 + str2）
29
    return ("zzc" + str1 + base64Sign + str2).toLowerCase();
30
}

3.3 索引数组来源#

插桩日志显示，索引数组 [23, 14, 6, 36, 16, 40, 7, 19] 来自域名检测逻辑：

1
[53535] [obj[key] = value类型] obj: [null,null,null,null,null,null,null,null] key：[0] value: 23
2
[53537] [obj[key] = value类型] obj: [23,null,null,null,null,null,null,null] key：[1] value: 14
3
[53538] [obj[key] = value类型] obj: [23,14,null,null,null,null,null,null] key：[2] value: 6
4
...

该数组通过检测当前页面域名 y.qq.com 是否在白名单 ['qq.com', 'joox.com', 'tencentmusic.com', ...] 中生成，是一种简单的环境指纹机制。

四、请求体加密算法（AES-GCM）#

日志分析

4.1 算法识别#

从表单插桩日志可以清晰看到加密流程：

1
// 插桩日志关键信息提取
2
// [11] new Uint8Array([189, 48, 95, 16, 208, 255, 116, 182, 239, 84, 218, 184, 53, 181, 225, 207]) - 密钥
3
// [12] new Uint8Array(12) - IV容器
4
// [13] crypto.getRandomValues(iv) - 生成随机IV
5
// [14] importKey() - 导入密钥
6
// [19] encrypt() - AES-GCM加密

4.2 加密流程#

1
┌─────────────────────────────────────────────────────────────┐
2
│                    AES-GCM 加密流程                         │
3
├─────────────────────────────────────────────────────────────┤
4
│  1. JSON序列化    →  将请求对象转为JSON字符串               │
5
│  2. UTF-8编码     →  TextEncoder.encode()                 │
6
│  3. 生成随机IV    →  crypto.getRandomValues(12字节)       │
7
│  4. AES-GCM加密   →  SubtleCrypto.encrypt()               │
8
│  5. 数据拼接      →  IV(12) + 密文 + AuthTag(16)          │
9
│  6. Base64编码    →  btoa() 或 Buffer.toString('base64')  │
10
└─────────────────────────────────────────────────────────────┘

4.3 核心代码实现#

1
function encryptSync(data) {
2
    // 固定密钥（16字节 = 128位）
3
    const key = Buffer.from([189, 48, 95, 16, 208, 255, 116, 182, 239, 84, 218, 184, 53, 181, 225, 207]);
4

5
    // 随机IV（12字节，GCM推荐长度）
6
    const iv = crypto.randomBytes(12);
7

8
    // 创建AES-GCM加密器
9
    const cipher = crypto.createCipheriv('aes-128-gcm', key, iv);
10

11
    // 支持对象或字符串输入
12
    const jsonStr = typeof data === 'string' ? data : JSON.stringify(data);
13

14
    // 执行加密
15
    const encrypted = Buffer.concat([
16
        cipher.update(jsonStr, 'utf8'),
17
        cipher.final()
18
    ]);
19

20
    // 获取认证标签（16字节）
21
    const authTag = cipher.getAuthTag();
22

23
    // 拼接格式：IV + 密文 + AuthTag
24
    const cipherWithTag = Buffer.concat([iv, encrypted, authTag]);
25

26
    // Base64编码输出
27
    return cipherWithTag.toString('base64');
28
}

4.4 数据格式说明#

数据段	长度	说明
IV	12字节	初始化向量，每次加密随机生成
密文	可变	AES-GCM加密结果
AuthTag	16字节	认证标签，用于完整性校验

五、响应解密算法#

5.1 解密入口定位#

在 vendor.chunk.js 中定位到解密函数：

1
var ae = oe.__cgiEncrypt,    // 加密函数
2
    se = oe.__cgiDecrypt;    // 解密函数
3
(delete oe.__cgiEncrypt, delete oe.__cgiDecrypt);  // 执行后立即删除

5.2 解密流程#

响应解密使用与加密相同的密钥和算法：

1
function decryptResponse(encryptedData) {
2
    const key = Buffer.from([189, 48, 95, 16, 208, 255, 116, 182, 239, 84, 218, 184, 53, 181, 225, 207]);
3

4
    // Base64解码（如果是字符串）
5
    if (typeof encryptedData === 'string') {
6
        encryptedData = Buffer.from(encryptedData, 'base64');
7
    }
8

9
    // 解析数据结构
10
    const iv = encryptedData.slice(0, 12);        // 前12字节：IV
11
    const authTag = encryptedData.slice(-16);     // 后16字节：AuthTag
12
    const ciphertext = encryptedData.slice(12, -16);  // 中间：密文
13

14
    // 创建解密器并解密
15
    const decipher = crypto.createDecipheriv('aes-128-gcm', key, iv);
16
    decipher.setAuthTag(authTag);
17

18
    const plaintext = Buffer.concat([
19
        decipher.update(ciphertext),
20
        decipher.final()
21
    ]);
22

23
    return plaintext.toString('utf8');
24
}

六、完整请求流程#

1
┌─────────────────────────────────────────────────────────────────────────┐
2
│                        QQ音乐API请求完整流程                            │
3
├─────────────────────────────────────────────────────────────────────────┤
4
│                                                                         │
5
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐             │
6
│  │ 构造请求数据  │───▶│  生成Sign签名 │───▶│  AES-GCM加密 │             │
7
│  │   (JSON)     │    │  (SHA-1+XOR) │    │  (固定密钥)  │             │
8
│  └──────────────┘    └──────────────┘    └──────┬───────┘             │
9
│                                                  │                     │
10
│                                                  ▼                     │
11
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐             │
12
│  │  发送HTTP请求│◀───│  Base64编码  │◀───│  IV+密文+Tag │             │
13
│  └──────┬───────┘    └──────────────┘    └──────────────┘             │
14
│         │                                                               │
15
│         ▼                                                               │
16
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐             │
17
│  │  接收响应    │───▶│  AES-GCM解密 │───▶│  JSON解析    │             │
18
│  │  (加密数据)  │    │  (固定密钥)  │    │  (业务数据)  │             │
19
│  └──────────────┘    └──────────────┘    └──────────────┘             │
20
│                                                                         │
21
└─────────────────────────────────────────────────────────────────────────┘

七、关键发现总结#

7.1 加密参数汇总#

参数	值	说明
加密算法	AES-128-GCM	认证加密模式
密钥	`[189, 48, 95, 16, 208, 255, 116, 182, 239, 84, 218, 184, 53, 181, 225, 207]`	固定128位密钥
IV长度	12字节	GCM推荐长度
AuthTag长度	16字节	完整性校验
签名算法	SHA-1 + XOR + Base64	多层混淆

7.2 安全评估#

优点：

使用标准AES-GCM算法，提供机密性和完整性保障
IV随机生成，避免相同明文产生相同密文

缺陷：

密钥硬编码在前端代码中，可通过逆向分析获取
Sign签名密钥同样固定，缺乏动态性
未使用HTTPS之外的额外通道加密

7.3 绕过策略#

由于密钥和算法均已完全还原，可直接在Node.js环境中模拟完整请求流程：

1
import requests
2
import execjs
3

4
# 使用Node.js执行加密
5
with open('sign.js', 'r', encoding='utf-8') as f:
6
    sig = execjs.compile(f.read())
7

8
data = {"comm": {...}, "req_1": {...}}
9
sign = sig.call("get_sign", data)
10
encrypted_data = sig.call("encryptSync", data)
11

12
# 发送请求
13
response = requests.post(url, params={"sign": sign, "encoding": "ag-1"}, data=encrypted_data)
14

15
# 解密响应
16
decrypted = sig.call("decryptSync", response.content)