AI 赋能 JS 逆向：MCP+Skill+autoDecoder 自动化加密分析方案

- name: js-reverse-automation description: 通过 MCP 连接浏览器，为目标自动化搭建 JS 环境，定位签名/加密函数入口，生成 JSRPC 代码，创建 Flask 代理，并输出 Burp autoDecoder 配置。
...

2、JSRPC 注入模板 (jsrpc-injection-template)

提供通用的函数拦截和远程调用能力，确保代码注入的稳定性和安全性。

// 1) 建立 JSRPC 连接
var client = new Hlclient("ws://127.0.0.1:12080/ws?group=fausto&name=burp");
// 2) 配置区
var JSRPC_CONFIG = {
    actionName: "generate_sign",
    entry: { type: "global", path: "signFunction" },
    bindThis: null,
    async: false,
    normalizeInput: function(param) { return param; },
    normalizeOutput: function(result) { return result; },
    onError: function(err) { return "ERROR_" + Date.now(); }
};
...

3、Flask 代理模板 (flask-jsrpc-proxy-template)

面向 Burp autoDecoder 的 Flask 代理服务模板，用于将请求体交给 JSRPC 生成加密后的结果并回填。

from flask import Flask, request
import requests
import json
import logging
logging.basicConfig(level=logging.DEBUG)
app = Flask(__name__)
JSRPC_URL = "http://127.0.0.1:12080/go"
JSRPC_GROUP = "fausto"
JSRPC_ACTION = "generate_sign"
SIGN_FIELD = "sign"
TIMEOUT = 5
@app.route('/encode', methods=['POST'])
def handle_encode():
    app.logger.info("- 收到来自 Burp/autoDecoder 的编码请求 -")
    data_body = request.form.get('dataBody', '')
    data_headers = request.form.get('dataHeaders', '')
    if not data_body:
        app.logger.error("未接收到 dataBody")
        return data_headers + "\r\n\r\n\r\n\r\n" + data_body if data_headers else data_body
    try:
        json_data = json.loads(data_body)
    except json.JSONDecodeError as e:
        app.logger.error(f"解析 JSON 失败：{e}")
        return data_headers + "\r\n\r\n\r\n\r\n" + data_body if data_headers else data_body
    old_sign = json_data.pop(SIGN_FIELD, None)
    app.logger.info(f"已移除旧签名：{old_sign}")
    params_for_jsrpc = {
        "group": JSRPC_GROUP,
        "action": JSRPC_ACTION,
        "param": json.dumps(json_data, ensure_ascii=False, separators=(',', ':'))
    }
    try:
        jsrpc_response = requests.get(JSRPC_URL, params=params_for_jsrpc, timeout=TIMEOUT)
        jsrpc_response.raise_for_status()
        result = jsrpc_response.json()
        new_sign = result.get('data', '')
    except requests.exceptions.RequestException as e:
        app.logger.error(f"调用 JSRPC 失败：{e}")
        new_sign = ""
    except json.JSONDecodeError as e:
        app.logger.error(f"解析 JSRPC 返回失败：{e}")
        new_sign = ""
    json_data[SIGN_FIELD] = new_sign
    new_data_body = json.dumps(json_data, ensure_ascii=False, separators=(',', ':'))
    if data_headers:
        new_content_length = len(new_data_body)
        new_headers = data_headers.replace(
            f"Content-Length: {len(data_body)}",
            f"Content-Length: {new_content_length}"
        )
        return new_headers + "\r\n\r\n\r\n\r\n" + new_data_body
    return new_data_body
if __name__ == '__main__':
    app.run(host='0.0.0.0', port=8888, debug=True)

实战测试

以某大学人事管理系统为例，其 password 字段被加密，全程使用 AI 进行分析，并全程使用 AI 生成的代码进行测试。

1. 输入触发 Skill 的提示词，AI 会提示我们需要输入的内容。

按 skill.md 的流程执行

2. 在网页中提取我们所需的参数。

3. 然后输入提示我们需要输入的所需参数至 codex。

目标址（URL）：https://xxx/login/index

4. 等待代码执行完成发现所需的代码均已创建完成。

Using skill js-reverse-automation (and its JSRPC/Flask/Burp templates) because the task matches the skill description.

5. 启动 JSRPC。

6. 在浏览器开发者工具的 Console 中，执行 JSRpc 项目中的 JsEnv_Dev.js 文件内容。

7. 在控制台注入 AI 生成的 jsrpc_password_md5.js。

// JSRPC injection for hr.ncu.edu.cn login password MD5
// Requires Hlclient to be available in the page context.
var client = new Hlclient("ws://127.0.0.1:12080/ws?group=fausto&name=burp");
var JSRPC_CONFIG = {
    actionName: "generate_password_md5",
    entry: {
        type: "resolver",
        resolver: function () {
            if (window.$ && typeof $.md5 === "function") return $.md5;
            if (window.jQuery && typeof jQuery.md5 === "function") return jQuery.md5;
            return null;
        },
    },
    bindThis: null,
    async: false,
    normalizeInput: function (param) {
        if (param && typeof param === "object") {
            if (param.password != null) return String(param.password);
            if (param.pwd != null) return String(param.pwd);
        }
        return String(param == null ? "" : param);
    },
    normalizeOutput: function (result) {
        return result;
    },
    onError: function (err) {
        return "ERROR_" + Date.now();
    },
};
function resolveEntry(config) {
    if (config.entry.type === "resolver" && typeof config.entry.resolver === "function") {
        return config.entry.resolver();
    }
    return null;
}
client.regAction(JSRPC_CONFIG.actionName, function (resolve, param) {
    try {
        var fn = resolveEntry(JSRPC_CONFIG);
        if (typeof fn !== "function") throw new Error("md5 function not found");
        var input = JSRPC_CONFIG.normalizeInput(param);
        var ctx = JSRPC_CONFIG.bindThis || null;
        var result = fn.call(ctx, input);
        if (JSRPC_CONFIG.async && result && typeof result.then === "function") {
            result.then(function (res) {
                resolve(JSRPC_CONFIG.normalizeOutput(res));
            }).catch(function (err) {
                resolve(JSRPC_CONFIG.onError(err));
            });
            return;
        }
        resolve(JSRPC_CONFIG.normalizeOutput(result));
    } catch (error) {
        resolve(JSRPC_CONFIG.onError(error));
    }
});

8. 测试 JSRPC 调用函数是否正常。

http://127.0.0.1:12080/go?group=fausto&action=generate_password_md5&param=111111

9. 运行 flask_proxy_password.py。

from flask import Flask, request
import requests
import json
import logging
from urllib.parse import parse_qs, urlencode
import re
logging.basicConfig(level=logging.DEBUG)
app = Flask(__name__)
JSRPC_URL = "http://127.0.0.1:12080/go"
JSRPC_GROUP = "fausto"
JSRPC_ACTION = "generate_password_md5"
PASSWORD_FIELD = "password"
TIMEOUT = 5
CONTENT_LENGTH_RE = re.compile(r"Content-Length:\s*\d+", re.IGNORECASE)
def call_jsrpc(raw_password: str) -> str:
    params_for_jsrpc = {
        "group": JSRPC_GROUP,
        "action": JSRPC_ACTION,
        "param": raw_password,
    }
    try:
        jsrpc_response = requests.get(JSRPC_URL, params=params_for_jsrpc, timeout=TIMEOUT)
        jsrpc_response.raise_for_status()
        result = jsrpc_response.json()
        return result.get("data", "")
    except requests.exceptions.RequestException as e:
        app.logger.error(f"JSRPC request failed: {e}")
        return ""
    except json.JSONDecodeError as e:
        app.logger.error(f"JSRPC response parse failed: {e}")
        return ""
@app.route('/encode', methods=['POST'])
def handle_encode():
    app.logger.info("- incoming autoDecoder request -")
    data_body = request.form.get('dataBody', '')
    data_headers = request.form.get('dataHeaders', '')
    if not data_body:
        app.logger.error("missing dataBody")
        return data_headers + "\r\n\r\n\r\n\r\n" + data_body if data_headers else data_body
    # Try JSON first
    new_body = None
    try:
        json_data = json.loads(data_body)
        raw_pwd = str(json_data.get(PASSWORD_FIELD, ""))
        if raw_pwd:
            json_data[PASSWORD_FIELD] = call_jsrpc(raw_pwd)
        new_body = json.dumps(json_data, ensure_ascii=False, separators=(',', ':'))
    except json.JSONDecodeError:
        # Fallback to x-www-form-urlencoded
        form = parse_qs(data_body, keep_blank_values=True)
        raw_pwd = form.get(PASSWORD_FIELD, [""])[0]
        if raw_pwd:
            form[PASSWORD_FIELD] = [call_jsrpc(raw_pwd)]
        new_body = urlencode(form, doseq=True)
    if data_headers:
        new_len = len(new_body)
        new_headers = CONTENT_LENGTH_RE.sub(f"Content-Length: {new_len}", data_headers)
        return new_headers + "\r\n\r\n\r\n\r\n" + new_body
    return new_body
if __name__ == '__main__':
    app.run(host='0.0.0.0', port=8888, debug=True)

10. 测试 Flask 是否可以正常加密。

curl -X POST http://127.0.0.1:8888/encode

11. 最后参考 Burp autoDecoder 配置说明配置 Burp 的 autoDecoder 插件，也成功加密了参数，整体完美运行下来了！

0x03 总结

本文成功实现了全自动化的 JS 分析和代码生成。对于复杂场景的 JS 代码分析可能仍需一定调试，但 AI 的优势在于可以反复迭代优化。期待更多思路交流和代码优化，共同提升安全测试能力。