前端 JS 混淆到底藏了什么:从七种混淆手段到 AST 还原,再聊聊反爬攻防这场拉锯战
混淆不是加密,能跑就能还原。这篇把标识符重命名、字符串数组、控制流平坦化等七种常见混淆手段一招招拆开,再用 Babel/AST 给出可本地复现的还原代码;后半程站在防守方视角讲透反爬五层防线(请求特征/参数签名/环境检测/行为分析/验证码)与合规边界。全程自建 demo,不涉及任何具体站点逆向。
张张站长
09-20
👁 42
💬 0
技术-逆向
我攒了个 Mac 桌面数据面板:Token 账单 + 供应商切换 + 工作日志 AI 助手(已开源)
把 AI 编程的 token 账单、API 供应商一键切换、工作日志 AI 助手塞进一个 Electron 桌面面板——纯本地数据、手绘 SVG 图表、零图表库依赖。技术栈 Electron + Python + 一点 Swift,已开源。
张张站长
09-16
👁 60
💬 0
技术-app
frida 入门:给一个自建 demo App 做运行时 hook(看入参、改返回)
手机上没有控制台,怎么在运行时看一个 App 内部函数的入参出参、甚至改它的返回?用 frida。这篇从装环境到写出第一个能跑的 hook,全程用自己写的极简 demo App 当靶子。
张张站长
09-15
👁 46
💬 0
技术-app
请求签名与防篡改:HMAC、时间戳、nonce 到底各防什么(附本地可复现 demo)
照抄参数重放却报「签名错误」?因为接口带了签名。这篇用一个自己写的本地签名服务器当靶子,把 HMAC/时间戳/nonce 各防什么讲透,再给一套逆向分析签名的通用四步法。
张张站长
09-15
👁 44
💬 0
技术-逆向
浏览器脚本注入:两个世界、两种实现(JS 扩展 vs Python/CDP)
注入的重点从来不是用什么语言,而是往哪个「世界」、在什么时机注入。这篇把 JS 扩展和 Python/CDP 两条路从零跑一遍,配本地 demo 和对比表。
张张站长
09-15
👁 47
💬 0
技术-逆向
宇树 R1 迎宾机器人(一):整体架构与人脸识别引擎
给公司年会做的迎宾机器人:感知/决策/表达三层架构、本地与机器人双模式,用 InsightFace 提取人脸特征、余弦相似度向量化匹配,识别部分一台带摄像头的电脑就能复现。
张张站长
09-14
👁 46
💬 0
技术-机器人
宇树 R1 迎宾机器人(二):接住相机与语音——GStreamer 视频流 + 双 TTS + 遥控器启停
通过 unitree_sdk2py/DDS 对接 R1:GStreamer 收头部相机 UDP H264 流、原生 TTS+LED、订阅 rt/lf/lowstate 解遥控器按键做一键启停,全部带回退。
张张站长
09-14
👁 37
💬 0
技术-机器人
宇树 R1 迎宾机器人(三):挥手与张望——关节控制与安全的动作设计
让 R1 挥手打招呼、空闲自然张望:关节编号、安全限位裁剪、关键帧+余弦缓入缓出插值、双正弦+指数平滑的头部张望,人形机器人动作的安全优先设计。
张张站长
09-14
👁 38
💬 0
技术-机器人
验证码对抗(四):弧度滑块——角度参数化、弧展开找缺口、沿弧拟人轨迹
滑块不走直线走弧线。从零跑通:脚本自己画弧形验证码再自己解,讲透用角度描述弧、把弧展开成一维信号找缺口、在角度上插值生成沿弧拖动轨迹、服务端多维度校验轨迹(时序/速度/形状/终点),以及内部/显示双坐标换算。
张张站长
09-14
👁 40
💬 0
技术-验证码
国密 SM4 对称加密:原理与 Python 加解密实战
从零跑通:一段代码加密再解密看到往返一致,讲清 ECB/CBC 与 key/iv/编码四个坑。
张张站长
09-14
👁 43
💬 0
技术-逆向
验证码对抗(一):文字点选——乱序图还原与坐标定位
从零跑通:脚本自己画图、打乱、还原,复制粘贴就能运行看到结果,再讲 ddddocr 定位与排序。
张张站长
09-14
👁 41
💬 0
技术-验证码
验证码对抗(二):旋转验证码——环形掩膜 + 模板匹配求角度
从零跑通:脚本自己造旋转验证码再解出来,多次随机测试误差为 0,纯 OpenCV 不训模型。
张张站长
09-14
👁 42
💬 0
技术-验证码
验证码对抗(三):拟人鼠标轨迹——贝塞尔曲线 + 抖动、变速与停顿
算出坐标只是一半,点得太直太快会被拦。用贝塞尔+弧长参数化生成起步慢中段快的拟人轨迹,并给出按服务端多维度(时序/速度/形状/终点)自检的方法,全程可跑。
张张站长
09-14
👁 41
💬 0
技术-验证码
天津 RS 协议分析:页面初始化、动态 Cookie 与浏览器环境排查
补充小白从零开始的离线 Demo、运行命令、预期输出和从 Demo 过渡到项目代码的完整说明。
张张站长
09-14
👁 46
💬 0
技术-逆向
国税接口加密报文分析:从前端 JavaScript 到 AES、SM2、SM3、SM4
补充虚拟测试密钥、环境准备、AES/SM4 离线 Demo、运行命令和常见错误的逐步说明。
张张站长
09-14
👁 43
💬 0
技术-逆向