Web JS 逆向全体系详解

如果接口请求已经知道，但不知道参数在哪生成，可以在 Sources 里给接口 URL 关键字加 XHR/fetch 断点。请求一发起，代码就会停住，这时顺着调用栈往上看，通常能一路回到业务代码里的加密入口。

Hook 注入

如果知道某个原生方法一定会被调用，比如 btoa、atob、fetch、XMLHttpRequest.prototype.send，直接 Hook 会更快。这样可以在函数执行前后把输入、输出和调用栈都记录下来，定位效率很高。

const originalBtoa = window.btoa;
window.btoa = function (...args) {
  console.log("btoa 输入：", args[0]);
  const result = originalBtoa.apply(this, args);
  console.log("btoa 输出：", result);
  console.log(new Error().stack);
  return result;
};

第四章 常见压缩与混淆

前端代码压缩和混淆是最常见的防分析手段。

压缩

压缩主要是减少体积：删空格、删换行、缩短变量名。功能没变，可读性却会下降很多。

混淆

混淆就更进一步了。字符串加密、控制流扁平化、死代码注入、变量名乱码、反调试代码，这些手段组合起来，会让原本清晰的逻辑变得很难直接阅读。

识别混淆代码时，先别急着'看懂'，更实际的做法是先格式化，再定位核心函数，接着看字符串表和解密入口。很多时候，真正值钱的不是那一堆花哨包装，而是里面藏着的少数关键函数。

第五章 常见编码与加密

逆向里最常见的就是 Base64、MD5、AES 和 RSA。它们虽然经常一起出现，但角色并不一样。

Base64

Base64 不是加密，而是编码。它的作用是把二进制或文本内容转成可传输的字符串，常见于参数传输、图片上传或中间数据封装。

MD5

MD5 是哈希摘要算法，不可逆。逆向时真正要找的不是'怎么解密'，而是'它拼了什么字符串去做摘要'。

AES

AES 是对称加密，前端和后端都可能用来保护请求体或响应体。逆向时要确认密钥、IV、模式和填充方式，不然复现结果往往对不上。

RSA

RSA 是非对称加密，常见于登录密码加密或签名验签。前端通常拿公钥做加密，真正解密在服务端完成。逆向的重点通常是复现加密，而不是解密。

const salt = "my_secret_salt";
const signStr = salt + keyword + timestamp;
const sign = CryptoJS.MD5(signStr).toString().toLowerCase();

第六章 环境补全与浏览器依赖

很多前端加密代码拿到 Node.js 里直接跑，会报 window is not defined、document is not defined 之类的错误。原因很简单：浏览器环境和 Node.js 环境不是一回事。

常见处理方式有三种：

• 手动补全 window、navigator、location 等对象；
• 用 JSDOM 模拟 DOM 环境；
• 直接在真实浏览器里通过 RPC 调用加密函数。

如果目标逻辑依赖很多浏览器特性，RPC 往往比硬补环境更稳。因为它绕开了环境差异，直接复用浏览器里已经能正常跑通的代码。

第七章 环境检测与反调试

网站会检测你是不是'真的在浏览器里'。常见检测点包括 navigator.webdriver、window.chrome、插件列表、屏幕分辨率、Canvas/WebGL 指纹等。

反调试也很常见，最经典的就是无限 debugger。遇到这种情况，不要一上来就硬刚代码，先判断它是定时器触发、函数递归触发，还是基于 DevTools 状态动态触发，再决定用条件断点、黑盒脚本还是 Hook 来绕过。

setInterval(() => {
  debugger;
}, 100);

这类代码本身并不复杂，但它足够烦人。实战里，能不能快速绕过反调试，往往直接决定你能不能把后面的逻辑看清楚。

第八章 RPC 远程调用

当加密逻辑实在太复杂，或者混淆、环境检测、WASM 保护叠在一起时，RPC 是非常实用的思路。

它的核心不是'还原代码'，而是'把浏览器里的函数变成一个可远程调用的能力'。Python 发参数，浏览器执行加密，结果再回传给 Python。这样做的好处是稳定、快捷，而且不怕前端频繁改逻辑。

如果你已经在浏览器里把函数跑通了，但在 Node.js 或 Python 环境里总是对不上，RPC 往往是最省时间的路线。

第九章 常见协议分析

JS 逆向最终还是要落到协议层。HTTP 和 HTTPS 只是载体，真正要看的是请求和响应是怎么组织的。

重点关注：

• 请求方法：GET 还是 POST；
• 请求头：认证、来源、浏览器标识；
• 请求体：加密参数、签名、时间戳、随机数；
• 响应体：数据结构、错误码、分页规则。

很多时候，协议分析做得越细，后面的逆向工作就越轻。因为你能更快区分：到底是加密错了，还是 Cookie 失效了，还是签名规则本身就变了。

第二部分：实战路径与案例思路

XHR 断点定位加密函数

这是最值得优先掌握的方法之一。先在 Network 里找到接口，再到 Sources 里给接口 URL 关键字加断点，触发请求后顺着调用栈回溯，通常就能找到真正的加密入口。

Hook btoa 定位 Base64 编码

如果页面里大量使用 Base64 包装参数，Hook btoa 比盲搜更直接。你会看到它到底在编码什么、是谁在调用、调用前的数据长什么样。

Newrank 类榜单参数复现

这类案例通常会涉及 Base64 + MD5 + 时间戳 + 随机数的组合。思路并不复杂：先抓包，再定位 sign 的生成函数，接着还原拼接顺序和盐值，最后用 Python 把这套逻辑复现出来。

import hashlib
import time
import base64

app_key = "xhs_001"
salt = "d1b12967a38c4891a987f65432109876"
timestamp = str(int(time.time() * 1000))
data = base64.b64encode(b'{"type":"all","page":1}').decode()
sign_str = app_key + "123456" + timestamp + data + salt
sign = hashlib.md5(sign_str.encode("utf-8")).hexdigest().lower()

复现这类签名时，最容易出错的地方不是算法本身，而是拼接顺序、编码方式和大小写。

第三部分：AST 与 WASM 进阶

AST 技术与反混淆

AST 的价值在于，它让你不必'肉眼读懂'每一段混淆代码，而是通过结构化的方式去处理代码节点。先解析成 AST，再遍历、修改，最后生成回代码。这个过程特别适合做字符串还原、死代码删除和变量重命名。

WASM 逆向

WASM 现在在前端加密里越来越常见。它比纯 JS 更难读，但并不是不能分析。你可以静态看 .wat，也可以在 DevTools 里动态调试，还可以直接在浏览器中调用导出函数，把它当成一个黑盒加密服务来用。

第四部分：完整学习路径

如果把 Web JS 逆向当成一门完整技能来学，我更建议按这个顺序走：

• 先打牢浏览器调试基础；
• 再熟悉常见加密算法和编码方式；
• 接着掌握断点、Hook、环境补全和反调试；
• 然后进入 AST、RPC 和 WASM；
• 最后把这些能力串成完整的爬虫或安全分析流程。

真正成熟的逆向，不是会背工具名，而是能在面对新站点时迅速判断：

• 该先抓包还是先调试；
• 该直接复现还是用 RPC；
• 该补环境还是绕过检测；
• 该手工还原还是走 AST 自动化。

这套判断能力，比单独记住任何一个技巧都更重要。

第五部分：实战总结

Web JS 逆向看起来知识点很多，其实主线非常清晰：抓包定位 → 调试分析 → 还原逻辑 → Python 复现 → 稳定请求。中间会穿插混淆、反调试、环境检测、AST 和 WASM，但它们的目的都一样：提高前端逻辑的可见性。

只要你能把每一层都拆开看，逆向就不会只是'读代码'，而会变成一套可重复的工程方法。