Python编程：腾讯防水墙原理浅析与Flask结合测试

　

防水墙

腾讯防水墙

地址：https://007.qq.com/

基本原理：

前端认证 + 后端认证

前端认证

前端参数：

id : 元素的id(必须)

data-APPid : AppID(必须)

data-cbfn : 回调函数名(必须)

data-biz-state : 业务自定义透传参数(可选)

接口发送的参数比较多，不做列举

返回参数

ret: 0, // 0 验证成功， 1 未通过验证

ticket: “String”,

randstr: “String”

后端认证

发送参数

aid (必填)

AppSecretKey (必填)

Ticket (必填) 验证码客户端验证回调的票据

Randstr (必填) 验证码客户端验证回调的随机串

UserIP (必填) 提交验证的用户的IP地址（eg: 10.127.10.2）

返回参数

response 1:验证成功，0:验证失败，100:AppSecretKey参数校验错误[required]

evil_level [0,100]，恶意等级[optional]

err_msg 验证错误信息[optional]，查看详细说明

原理浅析

现在捋一捋参数传递的方式

1. 前端 带着 AppID 和 其他参数向腾讯验证中心验证
2. 腾讯验证中心 将验证结果 ticket + randstr 返还给前端
3. 前端 将得到的参数 ticket + randstr 传递给 后端
4. 后端 将前端传递过来的参数 aid/AppSecretKey/Ticket/Randstr/UserIP 向 腾讯验证中心 进行二次验证

如图

所以，这个是前后端二次验证的机制，腾讯验证中心 充当了鉴权中心

关键点在于第四步，后端 直接向腾讯验证中心 进行最后确认

如果要破解，应该在步骤1上做文章，其他步骤有点难。。。

参考腾讯防水墙给出的文档，使用Flask做了一个简单的Demo，供参考

Demo地址：https://github.com/mouday/Tencentcaptcha

文章最后发布于: 2018-10-25 19:10:35

相关阅读

防火墙技术介绍

防火墙是一种将内部网和公众网如互联网分开的技术,能限制放保护的网络与互连网络之间，或者与其他网络之间进行的信息存取、传递操

腾讯听听使用体验（功能篇）：诚意满满但并不智能

小智上一篇分享已经给大家介绍了腾讯听听智能音箱的外观了，这一篇就给大家介绍一下腾讯听听（下面还是简称听听吧）的功能使用体验。用

腾讯17年，一部QQ成长史

日前，在猴年新春之际，腾讯推出了新春广告片，作为《弹指间 心无间》的延续。片中通过春节期间发送QQ红包让家人打车回家团聚，让我们感

阿里腾讯支付大战：余额宝Vs理财通

摘要 : 坐拥微信6亿多用户，腾讯能否使用理财通将其中大部分转化为自己的理财产品用户，是对未来移动支付领域的重要考验。2013互联

在腾讯里新闻发布网站 新闻发布网站

新闻营销因高效、精准、seo实验室的独特优势已成为当下网络推广的首选，特别是在知名门户网发布稿件，能取得更为显著的效果。腾讯作