大概我们就知道我们要分析的字段有nloginpwd其余字段还不清楚，就在上下在看看其他数据包，根据pubkey我们猜测加密方式大概是RSA，继续查看其他数据包，找到一个有价值的get包
信息是：
没有发现明确的关键字，但是可以猜想bg、challenge、patch应该和我们的加密参数相关，但是不确定，只有继续分析加密的js片段：
其中好几个字段都是$("#??")格式，这种表示是来自页面的，那在看看网页源码
果然发现了很多有价值的东西在post表单中的，其中只有两个参数是需要单独获取的，其余都是从html源码里面解析出来的
authcode来源
是获取的源码中的一个值，再看源码
看样子是在验证码操作的时候触发的一个请求，返回的authcode的值，查看authcode请求的数据包
这个请求看起来不是那么友好，有好几个疑似加密字段，这个参数暂时放放，继续分析我们的passWord的加密。
继续深入getEntryptPwd($('#nloginpwd').val())，查看源码
核心的就两行
encrypt.setPublicKey(pubKey)return encrypt.encrypt(pwd)这必定是RSA加密无疑了，继续查看源码，单独的一个源码文件，一共3300多行，删减版如下
JSEncrypt是前端使用的实现RSA加密的库，看样子应该比较标准，那就试试能不能改写了，复制全部源码到node.js，会提示navigator、window未定义，这个问题很简单，在文件头定义
var navigator = this
var window = this
然后在文件尾部写个调用程序试试
是可以成功返回RSA加密结果的
京东的post请求不是太难，参数也能在源码中找到，但是他的难度在发出post请求之前的一个get请求，这个get请求和验证有关，和用户名相关，简单看了一下感觉有点复杂，留在第二篇讲获取authcode参数的其他参数是怎么来的。
ID：Python之战
|作|者|公(zhong)号:python之战
专注Python，专注于网络爬虫、RPA的学习-践行-总结
喜欢研究和分享技术瓶颈，欢迎关注
独学而无友,则孤陋而寡闻！
1、可以使用hash加密MD5加密，不使用js对post提交的数据进行加密。2、可以使用hash加密，MD5加密，当不使用加密时，这段数据直接在网上传播，可以被监听并破解。
首先来说，目前常用的方式有两种，
浏览器端安全控件，淘宝、银行等均采用该方式，优点是安全系数高，缺点是投资较大；
使用ssl方式完成登陆，安全系数一般，投资较低（需要申请ssl证书）
至于使用js在post前加密从原理上来说是根本没有意义的，就像你说的，js是明文的，所以破解并不难。
如果你要开发的应用对安全性有要求，建议采用ssl方式即可，如果对安全性要求极高，选择安全控件。
事实上，对于80%的网站，登录信息安全问题并不重要，尤其是抓包导致泄露的几率极低。因为抓包这个事其实技术门槛还是很高的，如果盗取的账号没有极高的价值很少有人会去做。就像微博，QQ等，服务商也只是提供了各种密保，而没有针对账号提交过程提供太大的保护。
99%的账号丢失问题来自于木马，通过监控键盘事件完成盗取，而这种行为js根本无能为力。甚至前面说过的两种加密方式也同样。
对于普通的网站，通常的手法就是要求认证用户的安全邮箱，当密码丢失的时候可以通过安全邮箱重置密码，这就足够了。不建议尝试额外的手机找回密码、身份证绑定之类的功能，除非您的网站已经足够强大，否则有一点安全知识的人都不会在莫名其妙的网站上输入自己的手机号和身份证的。同理，就算你提供了安全控件，很多人可能也不会选择安装，因为你没办法证明自己提供的安全控件是安全的。
不要把抓包想的太容易哦，谁知道用户什么时候会登录，从什么地方过来，发到哪里，总不能24小时盯着吧？费这么大劲偷到了，连几千块钱都不值，他不是白费力气吧？能用这种方式盗取信息的人，你觉得他会对万把块的小钱感兴趣吗？除非是有人花钱请他对你的网站恶意攻击。也简单，平时注意备份就好了。和洪水地震的几率差不多。
