7天JS逆向实战讲解

这套《7天JS逆向实战讲解》的定位很明确：它不是前端基础课，也不讲框架用法，而是围绕"拿到一个站点的加密逻辑后，怎么定位、怎么还原、怎么在本地跑通"这条主线展开。对已经能熟练读 JavaScript、熟悉浏览器调试面板、但没系统做过逆向的人来说，它的价值在于提供了七个不同难度的真实目标，让你把零散的工具技巧串成一套可复用的分析流程。

技术栈与前置要求

课程涉及的工具链集中在浏览器端：Chrome DevTools 的 Sources 面板、XHR/fetch 断点、事件监听断点、Call Stack 回溯、Scope 变量观察，以及 Overrides 本地替换。加密部分覆盖对称与非对称两类，典型是 AES 和 RSA，另外还包含几类站点自行拼装的混淆算法——这类往往没有标准库特征，靠的是对字符串操作、位移、异或、时间戳拼接的识别经验。

前置门槛不低。至少需要能读懂原型链、闭包、this 指向，能跟进 Promise 和异步回调的执行顺序，否则在断点里很容易被层层嵌套的调用栈绕晕。如果连压缩后的变量重命名都难以判读，建议先补一轮 JavaScript 语言层面的强化再进入。

七天内容的组织逻辑

从主题排列看，节奏是"先标准后野生"。第一天用 AES 切入，这类目标有现成的库特征，适合建立最基本的定位习惯：搜索关键字、在加密函数出入口下断、观察明文与密文的对应关系。第五天的 RSA 属于非对称场景，关注点转到公钥来源、明文分段、以及加密前的填充与编码处理，和 AES 的分析路径差异明显。

其余几天基本都是"自写算法"：论坛、问卷类站点、棋牌类应用、以及带业务系统的平台。这些目标的共同点是加密逻辑由开发者手写，没有可套用的现成库，特征被稀释在业务代码里。分析这类目标，靠的是对数据流的耐心追踪，而不是查找已知函数名。把标准算法和自写算法交替安排，实际上是在训练同一套方法在不同噪音环境下的适应能力。

可复用的分析套路

课程真正能沉淀下来的不是某段具体的解密代码，而是几组反复出现的操作模式：

• 从请求参数反推加密入口——先看 Network 里哪些字段像密文，再回到调用点定位生成位置。
• 断点策略的取舍——XHR 断点适合快速锁定发送时机，函数断点适合追踪中间变换，两者配合能缩短排查路径。
• 把加密函数从原环境剥离——处理依赖全局对象、浏览器 API 或时间戳的部分，构造最小可运行环境在 Node 里复现。
• 验证闭环——用同样的输入在浏览器和本地分别跑一遍，比对输出，确认还原是否完整。

这几步在任何逆向任务里都能复用，区别只在于目标复杂度。第七天那种带登录态和业务校验的场景，考验的正是把上述步骤组合起来、在长链路里不迷失的能力。

怎么用这份资料

不建议连续刷完七天。每天的目标差异较大，最好的方式是：先自己动手分析一遍，卡住了再看讲解，然后关掉视频重做一次，把定位过程和最终代码分别记录下来。重点记录"为什么在这里下断""为什么判定这是加密入口"，这些判断依据比结果更值得保留。

配套内容里有环境说明，动手前先按它把浏览器和本地运行环境配好，避免在工具问题上耗时间。另外要注意，课程演示的是分析方法和思路，实际项目中遇到的目标站点结构、加密方案都可能不同，把它当作方法论的训练材料，而不是可以直接复制粘贴的答案库，收益会更实在。