JS逆向实战：腾讯点选验证码VMP环境补全与Hook策略

1. 从零开始：理解腾讯点选验证码与VMP保护

大家好，我是老K，一个在爬虫和JS逆向领域摸爬滚打了十来年的老码农。今天咱们不聊虚的，直接上手一个硬核实战项目：搞定腾讯的点选验证码。如果你在做数据采集或者自动化测试时，被那个“请依次点击图中的XX”给卡住过，那这篇文章就是为你准备的。

腾讯的点选验证码，表面上看就是让你点几张图，但它的核心防御机制远不止于此。它最让人头疼的地方，在于其核心逻辑被一层叫做 VMP（Virtual Machine Protect，虚拟机保护） 的技术包裹着。简单来说，腾讯把关键的验证逻辑（比如判断你点击的位置对不对、检测你的浏览器环境是不是真人）用自己的一套“虚拟机指令”重新编译了。你直接去看那个 tdc.js 文件，里面是一大堆乱七八糟的数组、位运算和跳转，根本不像人能写的JavaScript，这就是VMP编译后的结果。它的目的，就是让你静态分析代码变得极其困难，你无法像阅读普通JS一样，轻易找到检测点和判断逻辑。

那么，我们的目标是什么？不是去破解VMP（那太难了），而是“骗过”它。VMP保护的代码最终还是要在一个真实的浏览器环境里运行，它会通过各种方式探测这个环境是否“真实”。我们的核心思路就是：用JS逆向的手段，精准地找出它检测了哪些环境特征，然后为我们自动化的脚本（比如用Puppeteer或Playwright控制的浏览器）伪造一个天衣无缝的“真实”环境。这个过程，行话就叫“补环境”。

所以，这次实战的完整路径是这样的：先从网络请求分析入手，找到VMP文件；然后通过动态Hook技术，监听VMP代码与浏览器环境的每一次交互，从而摸清所有检测点；最后，系统性地将这些检测点全部补全，让验证码系统认为我们的脚本就是一个真人用户在普通浏览器里的操作。下面，我就带你一步步走通这个流程。

2. 接口抓取与分析：找到进攻的入口

动手补环境之前，我们得先知道敌人在哪、怎么通信。这里不需要任何高深技巧，就是最基础的浏览器开发者工具（F12）使用。打开一个有腾讯点选验证码的页面，在验证码弹出来之前，先清空网络请求记录，然后触发验证码。

你会看到一连串的请求，其中最关键的是这三个：

2.1 初始化请求：cap_union_prehandle

第一个重要的请求通常是 cap_union_prehandle，这是一个GET请求。它就像是验证码的“初始化握手”。服务器通过这个请求，了解你的基本环境，并下发后续需要的资源。我们来看看它的一些关键参数和返回：

请求参数（Query String）举例：

aid: 202xxxxx        // 网站的唯一标识，在腾讯云验证码平台注册获得
ua: MOzilla/5.0...（Base64编码） // 你的浏览器User-Agent，被编码了
cap_cd:               // 通常为空或特定值
sess:                 // 会话ID，首次请求可能为空
callback: _aq_185202  // JSONP回调函数名

响应体（关键部分）：

{
  "state": 1,
  "data": {
    "comm_captcha_cfg": {
      "tdc_path": "https://xxx.captcha.qq.com/tdc.js?app_data=7308...", // **核心！VMP文件地址**
      "pow_cfg": {
        "prefix": "a5d78a98bc3cd0e1#",
        "md5": "de4c8e266d55500fb9357dad59b9f06a"
      }
    },
    "dyn_show_info": {
      "instruction": "请依次点击：",
      "bg_elem_cfg": {
        "img_url": "https://xxx/xxx.jpg" // **点选背景图**
      },
      "sprite_url": "https://xxx/xxx.png" // **需要点击的图标图**
    }
  },
  "sess": "9f7a3b..." // **重要的会话ID，后续验证要用**
}

这个响应的信息量极大：

1. tdc_path：给了我们最关键的VMP核心逻辑文件（tdc.js）的完整URL。我们后续的Hook和补环境，主要就是针对这个文件里的 window.TDC 对象。
2. img_url 和 sprite_url：提供了点选用的图片。对于自动化来说，我们需要下载这些图片，用图像识别算法（比如OpenCV模板匹配）找出sprite图标在bg背景图中的位置，从而生成点击坐标。
3. sess：本次验证会话的唯一标识，必须记录下来，在最终验证时提交。
4. pow_cfg：里面包含prefix和md5，这是用于工作量证明（Proof of Work）的，后续验证接口会用到，用来对抗暴力破解。

2.2 获取VMP核心逻辑：tdc.js

拿到 tdc_path 后，浏览器会自动发起第二个GET请求去获取这个 tdc.js 文件。这个文件就是被VMP保护的核心代码，体积较大，内容看起来是高度混淆和虚拟化的。我们不需要（也很难）去读懂它，我们的策略是把它“圈养”起来，监视它的一举一动。这个文件执行后，会在全局 window 对象上挂载一个至关重要的对象：TDC。所有环境检测和验证逻辑，都通过这个对象的几个方法（如 setData, getData,