20240708 电梯门禁二维码逆向与利用
输入“/”快速插入内容
20240708 电梯门禁二维码逆向与利用
20240708 电梯门禁二维码逆向与利用
用户7858用户78582025年8月24日修改
一、背景
搬家后的公寓有两处门禁，一处是闸门，另一处是电梯。需要先刷二维码过闸门，等到电梯后，再刷二维码（二维码里有楼层信息，对应楼层的按钮自动按下）。
获取门禁二维码的过程有点繁琐，一般时长在 5 秒左右。我需要进到微信，找到公众号，点开二级菜单找到门禁选项，然后等页面加载完毕后才能看到二维码。
极限情况可能要 30 秒到一分钟。比如我正在回微信消息，或者在使用微信小程序，或者网络卡顿。尤其是先调出来二维码过了闸门，等好几分钟后电梯来了，又要刷电梯，这期间的几分钟就要来回切换，体验不佳。
二、目的
物业的门禁二维码只能在指定公众号中获取，我希望能在自己的自动化系统中快速生成二维码，不打断手上正在做的事情。
三、详细过程
3.1 使用旧版 pc 微信客户端打开调试窗口
在 chrome 中打开网页会报错，无法通过逐步调试掌握代码的运行流程，所以需要在 pc 微信客户端打开调试窗口。
在文末的链接中下载资料包。首先卸载微信客户端（如果已安装），然后安装资料包中的旧版微信客户端。接着将 链接 https://blog-1252687435.cos-website.ap-beijing.myqcloud.com/weixin_index.html 发送到文件传输助手，在微信客户端中点击链接，在新开的窗口中获取 resource 目录。如下图所示：
可知，resource 目录在 C:\Users\wenfeng\AppData\Roaming\Tencent\WeChat\All Users\CefResources\2589。
将资料包中的 devtools_resources.pak 复制粘贴到 resource 目录中，并在微信的安装目录也复制粘贴一份。
在桌面找到微信图标，右键选择属性，在启动命令后增加 -remote-debugging-port=8000，注意 remote 前面只有一个短横 -，如下图所示：
重启微信，打开公众号的门禁二维码页面，右键就能看到 打开 dev tools 选项，点击即可打开调试窗口。
3.2 定制二维码页面并部署
分析后，发现 js 代码先从 local storage 中读取了用户信息，然后将最低楼层和目标楼层都传到 create_qr 函数，该函数组装一些信息后，通过自定义的 decode_b64 函数做了一层加密。再送到 qrcode 插件生成二维码。
代码块
function createQR(userType, funcFlag, cusFlag, userFlag, validNumber, validBeginTime, validEndTime, baseFloor,
autoFloor, floors, deviceCodes, strkey) {
baseFloor = parseInt(baseFloor);
autoFloor = parseInt(autoFloor);
var qrCode = "";
var versionFlag = "0"; //版本标识,定长1位，目前默认为0，取值0~F
var timestamp = getTimestamp(funcFlag); //时间戳 定长8位/11位
cusFlag = strFillHex(parseInt(cusFlag).toString(16), 4); //客户标识 定长4位 16进制
validNumber = strFillHex(validNumber.toString(16), 2);
var nowTime = new Date().getTime() / 1000; //秒
if (nowTime > validBeginTime) {
validBeginTime = nowTime;
}
validBeginTime = strFillHex((validBeginTime - nowTime).toString().split(".")[0].toString(16), 5);
validEndTime = strFillHex((validEndTime - nowTime).toString().split(".")[0].toString(16), 5);
var groupInfo = getGroupInfo(funcFlag);
var shiliu = userType.toString(16);
qrCode = versionFlag + funcFlag + cusFlag + userFlag + shiliu.toUpperCase() + timestamp + validNumber +
validBeginTime + validEndTime + groupInfo;
if (funcFlag == 2 || userType == 2) {
var floorInfo = getFloorInfos(autoFloor, baseFloor, floors);
qrCode = qrCode + floorInfo;
}
if (funcFlag == 0 || funcFlag == 2 || userType == 2) {
var deviceInfo = getDeviceInfos(deviceCodes);
qrCode = qrCode + deviceInfo;
}
var mod = qrCode.length % 8;
console.log("qrcode is ");
console.log(qrCode);
qrCode = strFillHex2(qrCode, qrCode.length + 8 - mod);
console.log("strFillHex2 is ", qrCode);
var txt = KeeLoq_Encrypt_Str(qrCode, strkey);
console.log("KeeLoq_Encrypt_Str is ", txt);
var qr = decode64(txt);
console.log("decode64 is ", qr);
return qr;
}