前言
滑块验证码是比较常用的验证码之一，不过目前越来越多的网站将验证码改为点选汉字了，点选汉字确实要比滑块难的多。滑块用selenium过可以说是基本没什么技术含量，要解决的也只有对driver的检测问题。如果想用代码过，那确实是有点意思。最难的地方，当属伪造轨迹。本篇针对W易Y盾某版本滑块验证，分析指纹及轨迹的检测。
Go
原网址：aHR0cHM6Ly9saXZlLnYud28uY24vcGxhdGZvcm0veXRweHovdHRkcmF3Lmh0bWw=（b64）
然后fp，很明显就是浏览器指纹了，为啥？FingerPrint啊。根据调用栈一层一层往上找可疑的地方。
调试观察一下指纹里都取了什么。
我们发现在这里，W函数开始的地方，做了一些操作，看样子就是在定义指纹的内容。
继续跟，然后发现了惊喜：
然后参数i，canvas是个相当头疼的地方。canvas是一种HTML5的标签，非浏览器中是绝对弄不出来的。这个也是目前取浏览器指纹比较复杂的一种算法，与其类似的还有WebGL，也就是3D版的Canvas。这里我也没有太好的方法，但是有一件事，你取了一个这么长的base64，到最后向浏览器传的也只是一个十几位的数值，我可以把一个长度几万个字符的字符串通过算法转为十几位的数字，但是你服务器怎么去通过这十几位的数字还原原本的几万个字符呢？是做不到的，这个东西虽然难搞，同时服务器也很难检测出来。一般来讲，如果不是和浏览器信息一同返回，那么canvas这个东西可以直接随机。如果不行，那可以试试改掉图片base64的最后几个字符，让最后几个字符随机。如果还是不通过，那么需要去看看他的加密函数做了什么，针对加密函数做出调整。还还还不行，那只能想办法去搞这个canvas数据了。通过前面我们分析出这个网站是把canvas和浏览器信息加密后一同返回给服务器的，那么这里把i完全随机应该不大行，不过还是侥幸一下，万一过了呢。
先尝试全部随机，在这里下一个断,重新给n赋个值，随便改几个字符：
我们发现fp确实已经改变了
关于这个地方抠代码，首先找到W所在函数的头和尾，一共1000行左右代码。剪出来。直接剪出来是不能运行的，前面既然已经发现了他前端是vue做的，那么必定是用了webpack之类的工具构建打包，我们需要把webpack入口相关的代码也剪过来。这个入口，无非就两种，有的网站会把webpack入口代码单独提到一个js文件中，另一种就是和逻辑代码在一个文件中。webpack执行的地方，往往伴随着apply、call、及数组的push操作。
按照如上逻辑补全环境即可，需要注意的是域名，我们要手动把live.v.wo.cn填进去，然后里面的fp。。半随机半固定，看你心情搞就行。和canvas有关的代码直接干掉，反正我们已经知道他验证了些什么了，在关键处直接拦截改值就OK。
最后是cb参数，全局搜cb一共就4个地方，都打下断点。刷新验证码，断下来了：
具体步骤略过（PS：我也比较懒..），这里比较重要的地方我们都已经分析过了。
然后是轨迹生成。欲知后事如何，且听下回分解。
总结
到目前为止，网站整体没什么太复杂的地方，比较棘手的只有canvas，这个东西我也是没什么太好的应对方法。之前看过一个大佬专门开发了一个浏览器，修改底层得到各种类型的指纹，绝无重复，需要的时候调一下就出来了，是个很好的想法。下篇找一找轨迹的算法。
声明：本文分析过程仅供学习，并无任何个人以及商业或其他用途。如有不慎侵权，请联系我删除。
