7天JS 逆向实战讲解

这门课的主题很明确：把浏览器端 JavaScript 逆向拆成七段可对照的实战，从 AES 到 RSA，再到各站点自写的混淆加密，逐天推进。它不铺垫 JS 语法，也不讲前端框架，直接进入「拿到一个加密参数，怎么定位、怎么还原」的流程。对已经有前端基础、能读懂 ES5/ES6 代码、会用浏览器开发者工具的人来说，这是一份可以边看边在本地复现的资料。

技术栈与前置条件

课程涉及的逆向对象集中在 Web 前端常见的加密方式：对称加密以 AES 为代表，非对称加密以 RSA 为主线，剩下的是各站点自行实现的算法与混淆逻辑。要跟上内容，至少需要：

• 熟悉浏览器开发者工具，尤其是 Sources 面板的断点、调用栈、作用域查看，以及 Network 面板抓请求载荷；
• 能读懂压缩、混淆后的 JS，理解变量重命名、字符串数组、控制流平坦化这些常见手段的基本形态；
• 了解 Node.js 运行环境，因为多数实战的最后一步是把浏览器里跑通的算法搬到本地执行，或用它来批量构造参数；
• 对 AES、RSA 的密钥、模式、填充方式有概念，否则在还原时容易卡在参数拼装上。

不具备这些基础也能看，但会变成「看老师操作很顺、自己动手就断」的状态，效率不高。

七天内容的组织方式

从课程结构看，难度是递进的。开头用体量较小的单子做 AES 实战，目的是先建立一套通用流程：抓包定位加密参数、在调用栈里回溯、找到加密函数入口、确认密钥与 IV 的来源。这一步走通，后面才有稳定的方法论可复用。

中段进入 RSA 场景，房天下和学易云两天的内容分别对应 RSA 在真实站点中的不同用法，一个偏加密提交，一个偏解密响应。RSA 的难点不在算法本身，而在于公钥的获取方式、参数的分段处理，以及和对称加密混用时的先后顺序。

后段是几个站点的自写算法，包括问卷星、棋牌类站点和新商盟。这类目标没有现成的库可以对照，混淆程度更高，需要结合具体业务逻辑去推断参数生成规则。把这几天放在后面是合理的，因为前面建立的调试习惯和还原思路，在这里才真正派上用场。

可复用的方法与工程参考

比起具体某个站点的算法，更值得带走的是几类可迁移的做法：

• 定位策略——从请求参数反查调用链，而不是从头通读代码；
• 调试策略——条件断点、XHR 断点、函数 hook 的配合使用，减少无效单步；
• 还原策略——把浏览器环境中的加密逻辑抽离成独立函数，补齐缺失的浏览器对象，在 Node 中跑通；
• 验证策略——用同一组输入对比浏览器与本地输出，确认还原无误后再谈自动化。

这些做法在换一个目标站点后依然成立，属于工程习惯层面的积累，而不是只对某个案例有效的一次性技巧。

怎么用这份资料

建议按天推进，但不要只播放。每一天的合理节奏是：先自己打开目标站点抓一次包，尝试定位加密入口，卡住之后再对照视频看思路差异，最后独立把算法在本地跑通一遍。视频体量不小，中后段动辄几百 MB，说明操作过程完整，跟着敲比只看结论收获大得多。

另外提醒一点：逆向技术本身是中性的，用在哪里取决于使用者。涉及他人站点的数据与接口时，注意边界，把它当作理解前端加密实现、提升调试能力的手段，而不是绕过正常访问控制的工具。带着这个前提去看，这门课的价值才落得下来。