前端 JS 混淆到底藏了什么:从七种混淆手段到 AST 还原,再聊聊反爬攻防这场拉锯战
混淆不是加密,能跑就能还原。这篇把标识符重命名、字符串数组、控制流平坦化等七种常见混淆手段一招招拆开,再用 Babel/AST 给出可本地复现的还原代码;后半程站在防守方视角讲透反爬五层防线(请求特征/参数签名/环境检测/行为分析/验证码)与合规边界。全程自建 demo,不涉及任何具体站点逆向。
张张站长
09-20
👁 43
💬 0
技术-逆向
请求签名与防篡改:HMAC、时间戳、nonce 到底各防什么(附本地可复现 demo)
照抄参数重放却报「签名错误」?因为接口带了签名。这篇用一个自己写的本地签名服务器当靶子,把 HMAC/时间戳/nonce 各防什么讲透,再给一套逆向分析签名的通用四步法。
张张站长
09-15
👁 46
💬 0
技术-逆向
浏览器脚本注入:两个世界、两种实现(JS 扩展 vs Python/CDP)
注入的重点从来不是用什么语言,而是往哪个「世界」、在什么时机注入。这篇把 JS 扩展和 Python/CDP 两条路从零跑一遍,配本地 demo 和对比表。
张张站长
09-15
👁 49
💬 0
技术-逆向
国密 SM4 对称加密:原理与 Python 加解密实战
从零跑通:一段代码加密再解密看到往返一致,讲清 ECB/CBC 与 key/iv/编码四个坑。
张张站长
09-14
👁 45
💬 0
技术-逆向
天津 RS 协议分析:页面初始化、动态 Cookie 与浏览器环境排查
补充小白从零开始的离线 Demo、运行命令、预期输出和从 Demo 过渡到项目代码的完整说明。
张张站长
09-14
👁 48
💬 0
技术-逆向
国税接口加密报文分析:从前端 JavaScript 到 AES、SM2、SM3、SM4
补充虚拟测试密钥、环境准备、AES/SM4 离线 Demo、运行命令和常见错误的逐步说明。
张张站长
09-14
👁 45
💬 0
技术-逆向
企百科 Web/H5 混合环境下的 WASM 调试与批处理实现
记录企百科项目中 Python、Node.js、Wasmtime 与 WebAssembly 的混合调试过程,涵盖模块检查、内存模型、授权客户端、分页批处理、重试和排错。
张张站长
09-14
👁 23
💬 0
技术-逆向
Moto G85(XT2533-4)Android 15 解锁、Root 与 LSPosed 调试实战
围绕 Moto G85 Android 15 测试机,整理 Bootloader 解锁、init_boot 修补、fastbootd 刷入、Magisk/LSPosed 验证、应用调试和完整回滚流程。
张张站长
09-14
👁 27
💬 0
技术-逆向
从 geetest_crack 看验证码对抗:识别链路、风险边界与防护实践
基于本地 geetest_crack 项目的授权研究笔记:拆解检测、识别、交互与风控链路,并从防守侧梳理一次性挑战、会话绑定、限流和重放检测。
张张站长
09-14
👁 26
💬 0
技术-逆向
极验三代滑块验证码逆向分析:从状态机到请求载荷的完整拆解
这篇文章以一个 Python 实现为例,拆解极验三代滑块流程中的状态管理、图片切片复原、轨迹编码与加密载荷,并讨论逆向分析的边界、稳定性和防守思路。
张张站长
09-11
👁 51
💬 0
技术-逆向
亿企赢逆向手记(一):登录链路,从 OAuth 回调到最终会话 Cookie
五请求跨两域的登录链路:设备 cookie+预检+MD5 口令+OAuth 授权码换会话+弱密码才触发的验证码,每个接口的完整入参与响应分支。
张张站长
09-08
👁 34
💬 0
技术-逆向
亿企赢逆向手记(二):验证码不是墙——ddddocr 自动识别闭环
取图/校验被拆成两个接口、只靠一个可重试的 id 兜底,ddddocr 一行识别+重试就能闭环回登录。
张张站长
09-08
👁 30
💬 0
技术-逆向
亿企赢逆向手记(三):X-Irc-Data 指纹头的伪造与随机化
解开是 7 字段的 base64 浏览器指纹——无签名无种子无时间戳,一个模板随机几个字段就过;附完整字段来源表。
张张站长
09-08
👁 24
💬 0
技术-逆向
亿企赢逆向手记(四):会话的隐藏状态与多公司组切换
xsrf-token 回填、companyId/accountId/ucAccountId 身份三件套、多公司组切换,串起「按企业名找客户」的完整搜索链路。
张张站长
09-08
👁 23
💬 0
技术-逆向
亿企赢逆向手记(五):大规模采集的工程化——分页、断点续传、熔断
两个采集接口的完整入参、分页双判据、JSONL 断点续传、连续失败熔断——决定几千客户的活能不能干完。
张张站长
09-08
👁 22
💬 0
技术-逆向