310 lines
13 KiB
Markdown
310 lines
13 KiB
Markdown
# 虎牙 App 密码登录 — WUP 明文抓包实证（最终）
|
||
|
||
> 状态：**密码登录完整 WUP 请求已抓到（TLS 加密前明文）**
|
||
> 证据：`/Users/yml/codes/Reverse-Engineering-Agent-Universal-v3.0/evidence/derived/huya-wup-full3.jsonl`
|
||
> 方法：hook `createWupRequestData<AppLgnPasswordLoginReq>` onLeave 拿到序列化后的 WUP 字节
|
||
|
||
---
|
||
|
||
## 一、密码登录 WUP 请求（核心结论）
|
||
|
||
| 项 | 值 |
|
||
|---|---|
|
||
| **servant** | `huyaudbwebui` |
|
||
| **func** | `hypasswordLogin` |
|
||
| **协议** | WUP / TAF(JCE) 二进制序列化 |
|
||
| **msgType** | 4097 (0x1001) = `MsgLogin.mMsgId` |
|
||
| **请求大小** | 1356 字节 |
|
||
| **密码** | SHA1(明文) hex，无盐（`772ed992b0e161276f44ec63671e60155c506294`） |
|
||
| **name** | 虎牙号为 `hy_<虎牙号>`；手机号登录时为 11 位手机号原值 |
|
||
|
||
---
|
||
|
||
## 二、WUP 帧完整结构（已 100% 逆向定稿）
|
||
|
||
> 金标准文件：`evidence/wup_passwordlogin_taf.bin`（1015 字节 TAF 二进制）+ `evidence/wup_passwordlogin_base64.bin`（1356 字节 base64，即 HTTP body）
|
||
> HTTP：`POST https://udblgn.huya.com/open/hy/passwordLogin`，`Content-Type: application/x-wup`
|
||
|
||
### 2.1 外层：WUP RequestPacket（标准 JCE/TAF 序列化）
|
||
|
||
```
|
||
[0:4] uint32 BE 总长 = 1015
|
||
|
||
JCE RequestPacket 字段（head = (tag<<4)|type）:
|
||
tag1 iVersion = 3 (INT8: 10 03)
|
||
tag2 cPacketType = 0 (ZERO: 2c)
|
||
tag3 iMessageType = 0 (ZERO: 3c)
|
||
tag4 iRequestId = session(3251699) (INT32: 42 00 31 9d f3)
|
||
tag5 sServantName = "huyaudbwebui" (STR1: 56 0c + 12B)
|
||
tag6 sFuncName = "hypasswordLogin" (STR1: 66 0f + 15B)
|
||
tag7 sBuffer = MAP{...} (SIMPLE_LIST: 7d 00 01 03 c1 + 961B)
|
||
tag8 iTimeout = 0 (ZERO: 8c)
|
||
tag9 context = {} (空map) (MAP: 98 0c)
|
||
tag10 status = {} (空map) (MAP: a8 0c)
|
||
```
|
||
|
||
> 关键澄清：之前误认为 `'f'(0x66)` 和 `'}' (0x7d)` 是分隔符，实为 JCE 字段头：
|
||
> - `0x56` = 字段5(sServantName)+STRING1
|
||
> - `0x66` = 字段6(sFuncName)+STRING1
|
||
> - `0x7d` = 字段7(sBuffer)+SIMPLE_LIST
|
||
|
||
### 2.2 中层：sBuffer（961 字节）是一个 MAP
|
||
|
||
```
|
||
MAP (2条目):
|
||
"_wup_data" → 915 字节 (内层登录请求 struct)
|
||
"wupudbrequest_v0" → 5 字节 = 02 00 31 9d f3 (版本2 + session INT32)
|
||
```
|
||
|
||
### 2.3 内层：_wup_data（915 字节）登录请求 struct（完整字段映射）
|
||
|
||
```
|
||
_wup_data = STRUCT {
|
||
field0 = STRUCT { # 元数据+风控
|
||
tag0 = 0
|
||
tag1 = "1.0" # 协议版本
|
||
tag2 = 207B JSON (associationId/funcName/group/id/session/step/stillLogin/traceId/type/uid/userContext)
|
||
tag3 = "5008" # bizAppid
|
||
tag4 = 3 (INT8) # = type
|
||
tag5 = 180B safedeviceid # 设备指纹(base64)
|
||
tag6 = ""
|
||
tag7 = ""
|
||
tag8 = 210B userAction JSON # 风控行为轨迹
|
||
tag9 = ""
|
||
}
|
||
field1 = STRUCT { # 设备基础信息
|
||
tag0 = "ed0db8334cadd236c00cadf7e11ab5a5" # hdid (32 hex)
|
||
tag1 = "13.4.22" # App版本
|
||
tag2 = "1.0.80138" # SDK版本
|
||
tag3 = ""
|
||
tag4 = "127.0.0.1" # 占位
|
||
tag5 = "xiaomi" # 厂商
|
||
tag6 = ""
|
||
}
|
||
field2 = STRUCT { # 设备详情
|
||
tag0 = 1 (INT8)
|
||
tag1 = "M2102J2SC" # 型号 thyme
|
||
tag2 = "02df398797432eadefcc12767119ad5e80999389" # 设备唯一ID(40 hex)
|
||
tag3 = "android"
|
||
tag4 = "M2102J2SC,30,11" # 型号,SDK,版本
|
||
tag6 = "1080" # 屏宽 (tag5缺失)
|
||
tag7 = "2120" # 屏高
|
||
tag8 = "7c5387e0539c023c31c4ff0e807e7256117385ee" # 另一设备ID(40 hex)
|
||
}
|
||
field3 = STRUCT { # 登录凭证
|
||
tag3 = "hy_300023887" # name (虎牙号示例；手机号登录时直接放手机号)
|
||
tag4 = "772ed992b0e161276f44ec63671e60155c506294" # password = SHA1(明文)
|
||
tag5 = LIST["5008"] # appid列表
|
||
tag6 = 1 (INT8)
|
||
tag7 = {} (空map)
|
||
tag8 = [] (空simplelist)
|
||
}
|
||
}
|
||
```
|
||
|
||
### 2.4 原始可读字符串（完整）
|
||
|
||
TAF 序列化，可读字符串全量提取如下（关键字段用换行标出）：
|
||
|
||
```
|
||
AAAD9xADLDxCADGd81YMaHV5YXVkYndlYnVpZg9oeXBhc3N3b3JkTG9naW59... ← WUP 头
|
||
└─ "huyaudbwebui" ← servant
|
||
└─ "hypasswordLogin" ← func
|
||
|
||
_wup_data 字段（关联元数据 JSON）:
|
||
{"associationId":8193,
|
||
"funcName":"hypasswordLogin",
|
||
"group":1,
|
||
"id":4097, ← msgType
|
||
"session":3251699,
|
||
"step":1,
|
||
"stillLogin":false,
|
||
"traceId":"0b8f098ff64a5bdc-23473-94783833787595172451",
|
||
"type":3,
|
||
"uid":0,
|
||
"userContext":""}
|
||
|
||
业务数据:
|
||
5008 ← bizAppid (appId)
|
||
PQwemAN9NHkZKoMqVT... ← safedeviceid (设备指纹, base64)
|
||
|
||
userAction JSON:
|
||
{"curl":"登录页",
|
||
"furl":"我的",
|
||
"latitude":"-1.0",
|
||
"longitude":"-1.0",
|
||
"ssid":"",
|
||
"user_action":[
|
||
{"id":"24","time":"1787595171950","x":"277","y":"1057"},
|
||
{"id":"11","time":"1787595172444","x":"296","y":"952"}]}
|
||
|
||
设备信息字段:
|
||
ed0db8334cadd236c00cadf7e11ab5a5 ← hdid (硬件ID)
|
||
13.4.22 ← App 版本
|
||
1.0.801386 ← 某版本号
|
||
127.0.0.1 ← 回环地址(占位)
|
||
xiaomi ← 厂商
|
||
M2102J2SC ← 设备型号 (thyme)
|
||
M2102J2SC,30,11 ← 型号,SDK版本,版本
|
||
android ← 系统
|
||
1080 / 2120 ← 分辨率
|
||
7c5387e0539c023c31c4ff0e807e7256117385ee ← 另一个设备ID
|
||
|
||
登录凭证:
|
||
hy_300023887 ← name (虎牙号示例；手机号登录时直接放手机号)
|
||
772ed992b0e161276f44ec63671e60155c506294 ← password (SHA1)
|
||
|
||
结尾:
|
||
wupudbrequest_v0 ← WUP 请求类型标记
|
||
AAFAgAxnfOMmAyoDA== ← base64 尾巴(签名/校验)
|
||
```
|
||
|
||
---
|
||
|
||
## 三、WUP 请求的三层结构
|
||
|
||
```
|
||
┌──────────────────────────────────────────────────────┐
|
||
│ 第1层: WUP/TAF 外层 │
|
||
│ servant = "huyaudbwebui" │
|
||
│ func = "hypasswordLogin" │
|
||
│ _wup_data = { associationId, funcName, group, id, │
|
||
│ session, step, stillLogin, traceId, │
|
||
│ type, uid, userContext } │
|
||
├──────────────────────────────────────────────────────┤
|
||
│ 第2层: 业务数据 (AppLgnPasswordLoginReq) │
|
||
│ bizAppid = 5008 │
|
||
│ name = "hy_300023887" │
|
||
│ password = SHA1(明文) │
|
||
│ userAction = 风控行为 JSON │
|
||
│ safedeviceid / hdid / 设备信息 │
|
||
├──────────────────────────────────────────────────────┤
|
||
│ 第3层: 网络传输 │
|
||
│ TLS 1.3 → 116.162.209.x:443 (udblgn.huya.com) │
|
||
│ (自定义 BoringSSL / hyssl) │
|
||
└──────────────────────────────────────────────────────┘
|
||
```
|
||
|
||
---
|
||
|
||
## 四、网络层（实证）
|
||
|
||
- **密码登录走 TLS 443**（不是之前看到的 80 端口图片 CDN）
|
||
- 目标 IP：`116.162.209.83-86`（`udblgn.huya.com`，kunluncan CDN）
|
||
- TLS 层：libhycrypto.so = 定制 BoringSSL（hyssl），符号已 strip
|
||
- 连接池：App 启动时预建立，登录时复用
|
||
- **HTTP body = 原始 TAF 二进制（1015字节），NOT base64**（base64 是 hook 层返回值的表示形式，发送前已解码）
|
||
|
||
---
|
||
|
||
## 四·五、纯 Python 重放验证（✅ 成功）
|
||
|
||
**关键结论：纯 Python 可以复刻密码登录请求，服务端返回完整登录响应。**
|
||
|
||
```
|
||
POST https://udblgn.huya.com/open/hy/passwordLogin
|
||
Content-Type: application/x-wup
|
||
Body: 原始 TAF 二进制 (1015字节, 非base64)
|
||
```
|
||
|
||
重放金标准请求（`wup_passwordlogin_taf.bin`）后，服务端返回 **1514 字节登录响应**：
|
||
|
||
| 字段 | 值 |
|
||
|---|---|
|
||
| **uid** | `1199666914671` |
|
||
| **name** | `hy_300023887` |
|
||
| **手机号掩码** | `001******7524` |
|
||
| **token** | 346 字节 base64（已存 `evidence/huya_token.txt`） |
|
||
| **uc_states** | `1`（成功标记） |
|
||
|
||
这证明：
|
||
1. ✅ 请求格式 100% 正确（服务端无 BAD_REQUEST）
|
||
2. ✅ 设备指纹（safedeviceid/hdid）可复用（重放旧值仍通过）
|
||
3. ✅ userAction 可复用（旧轨迹未被风控拒绝）
|
||
4. ✅ TLS 指纹不阻断
|
||
|
||
> 注：此验证是「重放」，即复用已抓到的完整请求。要批量登录新账号，还需编码器动态构造新请求（替换 name/password/session/traceId/userAction）。
|
||
|
||
---
|
||
|
||
## 四·六、编码器 + 动态构造验证（✅ 完整成功）
|
||
|
||
**编码器已实现，逐字节复现金标准，且能动态构造全新请求。**
|
||
|
||
1. **`tools/huya_wup_encoder.py`** — 自检通过：用已知字段构造，输出与金标准逐字节一致（1015 字节）
|
||
2. **动态构造测试** — 用新 session（3251799）、新 traceId 构造全新请求（1009 字节），发送后返回：
|
||
|
||
| 字段 | 值 |
|
||
|---|---|
|
||
| **uid** | `1199666914671` |
|
||
| **name** | `hy_300023887` |
|
||
| **手机号掩码** | `001******7524` |
|
||
| **token** | 全新 token（`XAQBRJ3H...`） |
|
||
|
||
这证明 **纯 Python 可以完整复刻虎牙密码登录**：
|
||
1. ✅ 帧格式（JCE/WUP）逆向定稿
|
||
2. ✅ 编码器逐字节复现
|
||
3. ✅ session/traceId 可自由生成（服务端接受新值）
|
||
4. ✅ 设备指纹可复用
|
||
5. ✅ 动态构造请求返回有效登录响应（uid + token）
|
||
|
||
### userAction 随机化（✅ 已实测）
|
||
|
||
`userAction` 只是请求里的一个普通 JSON 字符串字段，编码器已暴露 `user_action_json` 参数。实测**随机坐标 + 随机时间戳**同样能通过登录（返回 uid + token），服务端对该字段不做严格校验。
|
||
|
||
编码器提供辅助函数：
|
||
- `make_user_action(now_ms=None)` — 生成随机 userAction JSON（坐标/时间戳/点击间隔随机）
|
||
- `make_trace_id(pid=0)` — 生成 traceId
|
||
|
||
> 未实测定论：批量高频登录时，服务端是否按**账号/设备/IP 维度**限流或风控。这需要实测才能确认，与 userAction 无关。
|
||
|
||
---
|
||
|
||
## 五、对「纯 Python 复刻」的启示（已实证更新）
|
||
|
||
**TLS 指纹已实测：不阻断。** 普通 Python `urllib` 直连 `udblgn.huya.com` 能正常收到业务响应。
|
||
|
||
要脱离 App 用 Python 发密码登录请求，需要：
|
||
|
||
1. ✅ **密码**：`sha1(明文)` —— 已破解，纯 Python 可做
|
||
2. ✅ **name**：`hy_虎牙号` —— 已知
|
||
3. ✅ **servant/func**：`huyaudbwebui` / `hypasswordLogin` —— 已知
|
||
4. ✅ **WUP 帧格式**：标准 JCE RequestPacket，已 100% 定稿（见第二节）
|
||
5. ✅ **Content-Type**：`application/x-wup`，body = 原始 TAF 二进制
|
||
6. ✅ **重放验证**：服务端返回 uid + token（纯 Python 可行）
|
||
7. ✅ **TAF/JCE 编码器**：`tools/huya_wup_encoder.py`（自检通过，逐字节复现）
|
||
8. ✅ **_wup_data 元数据**：`session`/`traceId` 可自由生成（服务端接受新值）
|
||
9. ✅ **设备指纹（safedeviceid/hdid）**：可复用旧值（缓存一次即可）
|
||
10. ✅ **userAction**：随机坐标/时间戳即可通过（编码器内置 `make_user_action()`）
|
||
|
||
> 唯一待实测项：批量高频登录时的账号/设备/IP 维度限流（与 userAction 无关）。
|
||
|
||
---
|
||
|
||
## 六、关联证据文件
|
||
|
||
- `huya-wup-plain.jsonl` — 第一次明文抓包（sendMsg JSON 层，305 事件）
|
||
- `huya-wup-full3.jsonl` — 完整 WUP 序列化（含本次密码登录 1356 字节）
|
||
- `wup_passwordlogin_taf.bin` — 金标准：1015 字节 TAF 二进制（= HTTP body，编码器自检依赖）
|
||
- `wup_passwordlogin_base64.bin` — 金标准：1356 字节 base64（hook 返回值）
|
||
- `wup_response_badreq.bin` — 服务端响应帧（383 字节，returnCode=104）
|
||
- `tools/huya_wup_encoder.py` — WUP 帧编码器（自检通过，逐字节复现金标准，含 `make_user_action`/`make_trace_id`）
|
||
- hook 脚本：`hook_huya_wup_full.js`
|
||
- runner：`run_huya_netcapture.py`
|
||
|
||
> 含有效登录 token 的响应文件（`wup_response_login.bin`、`wup_response_new_session.bin`、`huya_token.txt`）已加入 `.gitignore`，不提交。
|
||
|
||
---
|
||
|
||
## 七、结论与下一步
|
||
|
||
已完成并验证：
|
||
1. ✅ **TLS 指纹**：实测不阻断（Python urllib 正常收到业务响应）
|
||
2. ✅ **TAF 编码器**：`tools/huya_wup_encoder.py`，逐字节复现金标准
|
||
3. ✅ **纯 Python 登录**：重放 + 动态构造均返回 uid + token
|
||
4. ✅ **userAction 随机化**：随机坐标/时间戳通过
|
||
|
||
待实测（唯一未定论项）：
|
||
1. **批量高频登录的限流/风控**：需用编码器连续发请求，观察账号/设备/IP 维度是否触发限制（错误码、频率阈值）
|
||
2. **集成进 `core/huya/login.py`**：把 APP 密码登录（`/open/hy/passwordLogin`）作为 Web 登录被风控阻断时的替代路径
|