1. 项目背景与需求分析最近在分析某短视频平台的视频解析接口时发现其采用了RSAAES双重加密方案。这种组合加密方式在当今Web安全领域非常典型——RSA用于密钥交换AES用于内容加密。作为爬虫开发者我们需要逆向这套加密逻辑才能获取目标数据。这个案例的难度评级为一般主要因为没有使用冷门加密算法或自定义混淆JS代码没有做深度混淆如WebAssembly参数生成逻辑相对清晰关键加密函数可以直接在浏览器调试工具中定位2. 技术方案设计2.1 整体逆向思路典型的加密接口逆向流程抓包分析请求参数定位关键加密函数还原加密逻辑移植到Python实现2.2 工具准备Chrome开发者工具Network面板Sources面板PyExecJS/PyV8执行JS代码Python加密库pycryptodome请求库requests3. 实操步骤详解3.1 请求参数分析首先用Chrome抓包发现关键请求特征{ encKey: RSA加密的字符串, params: AES加密的JSON数据 }3.2 JS逆向过程在Sources面板搜索关键词encKey定位到加密函数function getEncKey() { const rsa new JSEncrypt(); rsa.setPublicKey(publicKey); return rsa.encrypt(aesKey); }3.3 Python实现方案安装依赖pip install pycryptodome requests核心加密代码from Crypto.Cipher import PKCS1_v1_5, AES from Crypto.PublicKey import RSA from Crypto.Util.Padding import pad import base64 def rsa_encrypt(public_key, data): rsa_key RSA.import_key(public_key) cipher PKCS1_v1_5.new(rsa_key) return base64.b64encode(cipher.encrypt(data.encode())) def aes_encrypt(key, iv, data): cipher AES.new(key.encode(), AES.MODE_CBC, iv.encode()) return base64.b64encode(cipher.encrypt(pad(data.encode(), AES.block_size)))4. 关键问题解决4.1 常见报错处理Padding错误确保AES加密时使用PKCS7填充检查IV长度是否为16字节RSA密钥格式需要将PEM格式的公钥转换为Python可识别的格式注意包含-----BEGIN PUBLIC KEY-----头尾标记4.2 性能优化缓存RSA公钥对象避免重复解析使用session保持连接对AES密钥做内存缓存5. 完整代码示例import requests from Crypto.Cipher import PKCS1_v1_5, AES from Crypto.PublicKey import RSA from Crypto.Util.Padding import pad import base64 import json class VideoSpider: def __init__(self): self.public_key -----BEGIN PUBLIC KEY----- MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDEIx... -----END PUBLIC KEY----- self.session requests.Session() self.aes_key 随机生成的16位字符串 self.aes_iv 与key相同的16位字符串 def _encrypt_params(self, params): # RSA加密AES密钥 enc_key rsa_encrypt(self.public_key, self.aes_key) # AES加密请求参数 enc_params aes_encrypt( self.aes_key, self.aes_iv, json.dumps(params) ) return { encKey: enc_key.decode(), params: enc_params.decode() } def get_video_info(self, video_id): params {videoId: video_id} encrypted self._encrypt_params(params) response self.session.post( https://api.example.com/video/detail, dataencrypted ) return response.json()6. 安全与反爬策略6.1 应对反爬措施随机化请求头中的User-Agent控制请求频率建议3-5秒/次使用代理IP池6.2 法律风险提示仅用于学习交流不要绕过付费内容遵守robots.txt协议7. 扩展应用这套方法可以复用于其他使用RSAAES的网站微信小程序接口分析移动端APP接口逆向实际开发中我发现90%的网站加密方案都可以用这种组合加密思路破解。关键在于耐心分析JS代码和正确移植加密算法。