JavaScript混淆加密逆向分析教学文档<\/h1>

1. 分析背景与目标<\/h2>

场景<\/strong>：网站登录功能，用户名和密码被加密传输<\/li>
目标<\/strong>：逆向分析JavaScript加密逻辑，还原加密算法和密钥<\/li>

工具<\/strong>：Chrome开发者工具、Burp Suite抓包工具<\/li> <\/ul>
2. 初步分析<\/h2>
2.1 请求包分析<\/h3>

登录请求中仅存在content<\/code>加密字段，无其他随机性参数<\/li>
初步判断为对称加密（非对称加密通常会携带加密后的密钥字段）<\/li> <\/ul> 2.2 加密点定位方法<\/h3> 三板斧定位法<\/strong>：<\/p> F12打开开发者工具<\/li> 选择Source标签页<\/li> 在服务器文件夹中搜索content<\/code>字段<\/li> 定位到app.xxxxx.js<\/code>文件中的加密逻辑<\/li> <\/ol> 3. 加密逻辑分析<\/h2> 3.1 主要加密函数定位<\/h3> 通过断点调试发现encrypt<\/code>函数为主要的加密函数<\/li> _0x605354[_0x3b5268(0x2fa)]<\/code>值为输入的用户名和密码组合<\/li> <\/ul> 3.2 查看混淆变量值的方法<\/h3> 鼠标选中变量后悬停显示值<\/li> 复制变量到Console通过console.log<\/code>打印<\/li> <\/ol> 4. AES加密分析<\/h2> 4.1 加密算法识别<\/h3> 通过函数结构识别为AES加密，特征：<\/p> 存在iv（初始化向量）<\/li> 指定mode（模式）和padding（填充方式）<\/li> 具体为CBC模式<\/li> <\/ul> 4.2 密钥分析<\/h3> AES密钥<\/strong>：49EVO....zTZ9eOPd9z<\/code><\/p> 确认密钥固定性：通过两次请求对比密钥值是否相同<\/li> 本文案例中密钥为固定值<\/li> <\/ul> 4.3 IV分析<\/h3> IV通过混淆函数生成，为16位随机字符串<\/li> 关键问题：动态IV如何传递给服务端？<\/li> <\/ul> 5. 数据传输机制分析<\/h2> 5.1 Content字段构成<\/h3> _0xc4ea4f<\/span> =<\/span> _0x335a7b<\/span>.concat<\/span>(_0xbb436c<\/span>) <\/span><\/span><\/code><\/pre> _0x335a7b<\/code>：IV值<\/li> _0xbb436c<\/code>：明文加密结果<\/li> 最终对拼接结果进行base64编码<\/li> <\/ul> 5.2 解密流程<\/h3> 将base64内容转为16进制<\/li> 前32个字符作为IV<\/li> 剩余部分作为AES密文<\/li> 使用固定密钥进行解密<\/li> <\/ol> 6. Password字段加密分析<\/h2> 6.1 加密点定位替代方法<\/h3> 选择Network标签页<\/li> 查看API数据包的Initiator调用链<\/li> 定位login<\/code>、post<\/code>、xhr<\/code>等关键调用点<\/li> <\/ol> 6.2 Password加密参数<\/h3> IV<\/strong>：JIlidaopg9APlIlI<\/code><\/li> 密钥<\/strong>：JIlidaopg9APlIlIJIlidaopg9APlIlI<\/code>（32位）<\/li> <\/ul> 7. 完整解密方案<\/h2> 7.1 Content字段解密<\/h3> \/\/ 伪代码示例 <\/span><\/span><\/span><\/span>base64_content<\/span> =<\/span> "请求中的content值"<\/span> <\/span><\/span>hex_content<\/span> =<\/span> base64_to_hex<\/span>(base64_content<\/span>) <\/span><\/span>iv<\/span> =<\/span> hex_content<\/span>.substring<\/span>(0<\/span>, 32<\/span>) <\/span><\/span>ciphertext<\/span> =<\/span> hex_content<\/span>.substring<\/span>(32<\/span>) <\/span><\/span>plaintext<\/span> =<\/span> aes_decrypt<\/span>(ciphertext<\/span>, fixed_key<\/span>, iv<\/span>, mode<\/span>=<\/span>CBC<\/span>) <\/span><\/span><\/code><\/pre>7.2 Password字段解密<\/h3> 使用单独的IV和密钥进行AES-CBC解密<\/p> 8. 关键技术要点总结<\/h2> 8.1 混淆代码调试技巧<\/h3> 善用断点调试和变量追踪<\/li> 掌握混淆变量值的查看方法<\/li> 通过函数名和参数识别加密算法<\/li> <\/ul> 8.2 加密算法识别特征<\/h3> AES-CBC：存在IV、指定模式和填充<\/li> 密钥固定性测试方法<\/li> 动态参数传递机制分析<\/li> <\/ul> 8.3 数据包分析要点<\/h3> 观察请求字段构成<\/li> 分析参数传递方式<\/li> 识别加密数据格式<\/li> <\/ul> 9. 逆向分析思维导图<\/h2> 定位<\/strong>：搜索关键字段 → 找到加密文件<\/li> 分析<\/strong>：断点调试 → 追踪加密流程<\/li> 识别<\/strong>：算法识别 → 参数提取<\/li> 验证<\/strong>：解密测试 → 确认逻辑<\/li> <\/ol> 本教学文档详细介绍了JavaScript混淆加密的完整逆向分析流程，涵盖了从初步定位到最终解密的各个环节，为类似场景的逆向分析提供了可复用的方法论。<\/p>