AI辅助JS逆向实战：从手动扣代码到自动化分析加密参数

JS逆向一直是Web安全和爬虫领域的高阶技能门槛。很多零基础入门者常常困惑：到底该学什么、练什么，才能稳步提升而不拉低技术上限？业内普遍认为，拼多多这类电商站点的逆向案例知识点全面、技术逻辑通用，非常契合主流Web逆向的核心技术体系，因而成为进阶实训的热门选择。本文结合一段B站教程的实操演示，梳理传统"古法"逆向流程，并对比引入AI（Claude Code + MCP）后的自动化分析效果。

为什么拼多多适合作为高阶逆向训练案例

Web逆向的核心学习重点集中在三大模块：环境补全、混淆还原、动态参数抓取。这三者恰好是进阶到高阶技术的关键基础，而拼多多的加密体系几乎完整覆盖了这些知识点。

以本次分析的目标为例，在切换商品列表页面时，服务端接口会附带一个名为 anti_content（视频中口述为"uncontent"）的加密参数。这个值是一串以 0aq 开头的乱码数据，其余请求参数都清晰可读，唯独它需要逆向定位生成逻辑。这类"单一可疑参数 + 混淆生成"的结构，正是练习动态参数抓取和混淆还原的典型样本。

古法逆向流程：手动断点与堆栈跟踪

传统逆向方式相当依赖人工经验。演示中通过 F12 打开开发者面板，在网络（Network）栏抓取 list 接口的请求包，检查标头（Headers）与载荷（Payload），锁定 anti_content 这个可疑加密值。

接下来是最繁琐的环节——通过关键字全局搜索定位生成位置，逐个下断点，再刷新页面或切换板块触发断点。整个过程需要开发者自己判断加密位置、手动打断点、跟栈分析，一步都不能错。

断点命中后，还要顺着调用栈往上追。视频中提到一个值得关注的细节：代码里大量使用逗号表达式，其运行规则是无论前面有多少语句，最终只返回最后一个逗号后的结果。理解这一点，才能准确判断哪一行代码才是真正生成加密值的关键逻辑，最终锁定名为 getAntiContent 的方法。

层层深入：Promise对象与控制流平坦化

定位到方法后，麻烦并未结束。返回值往往是一个 Promise 对象，无法直接看到明文结果，需要单步执行走进去。演示中还遇到了**控制流平坦化（Control Flow Flattening）**的混淆手法——代码逻辑被打散重组，正常阅读几乎不可能。

继续跟栈会发现内部存在 messagepack、messagepacksending 等序列化相关方法，以及大量与系统时间相关的调用。加密值的真正生成藏在一个经过 Webpack 打包的 chunk 文件里。到这一步，古法路线要求逆向者进行扣代码、补环境，工作量极大。视频作者坦言，单是这一个案例，纯手工完成往往连14分钟都不够，还得反复检查缺失的环境模块。

控制流平坦化是一种常见的代码混淆技术，由混淆工具（如 obfuscator.io 或商业保护方案）自动生成。其核心原理是将原本顺序执行的代码逻辑拆散，统一改写为一个由 while 循环驱动的状态机：每一步逻辑对应一个状态值，下一步该执行什么由一个分发数组决定，阅读者无法凭借代码顺序推断原始逻辑。例如一段简单的"A→B→C"执行流，经过平坦化后可能变成状态 '3|1|0|2'，循环依次分发到对应分支。这使得静态阅读几乎无效，必须通过动态执行或借助 AST（抽象语法树）还原工具（如 de4js、babel-plugin 系列）才能恢复可读形态。Webpack 打包则是另一层障碍：业务逻辑被拆分成若干 chunk 模块，每个模块以数字 ID 索引，扣代码时需要同时识别依赖关系并补全对应模块，否则运行环境会因缺失依赖而报错。

AI自动化逆向：Claude Code + MCP 的实操表现

引入AI后，流程被大幅简化。要实现全自动化逆向，作者强调需要准备两类基础：一是补环境标准（包括通用的结构化标准，以及针对抖音、Boss、拼多多等不同产品的专用补环境模板）；二是MCP（Model Context Protocol）配置。

MCP 在这里扮演的角色类似"USB接口"，让AI能够对接调试工具，自动调整、下断点、注入 Hook 代码，从而实现端到端的分析。

实测环节，作者在 VSCode 中给出一句非常直白的提示词："结合 Claude Code 和 MCP 来逆向分析一下这个网站"。AI 表现相当高效——仅用十几分钟就完成了整个流程：分析 anti_content 值、定位生成位置、找到关键方法、调用对应的 MCP 工具、生成响应结果，并做了预发校验、获取完整长度、返回正常状态码。

最终生成的 PoC 文件直接用 Node 运行即可，输出结果包含系统时间、以 0aq 开头的 anti_content 值，长度校验通过、状态码 200、验证结果为 true。整个目标数据获取无任何问题。

MCP（Model Context Protocol） 是 Anthropic 于 2024 年底推出的开放协议，用于标准化 AI 模型与外部工具、数据源之间的交互方式。其设计理念类似 USB 或 LSP（Language Server Protocol）——通过统一接口，让 Claude 等大模型能够调用浏览器调试器、文件系统、代码执行环境等外部能力，而无需为每个工具单独定制集成方案。在逆向场景中，配置好 MCP 服务端后，AI 可以直接调用 Chrome DevTools Protocol（CDP）接口，远程控制浏览器下断点、读取作用域变量、注入 Hook 脚本，整个过程对用户透明。这与传统 RPA（机器人流程自动化）的关键区别在于：MCP 赋予了 AI 基于上下文理解动态决策"下一步该做什么"的能力，而非执行固定录制脚本。

技术启示：AI没有取代逆向，而是压缩了体力活

值得客观看待的是，AI并未消除逆向工程对基础知识的要求。补环境标准、MCP工具链的搭建仍需人工准备，且需要逆向者理解 Promise、控制流平坦化、Webpack 打包等概念，才能判断AI的输出是否正确。

AI真正解决的是重复性、机械性的体力活——反复下断点、跟栈、扣代码、补缺失环境。它把原本需要资深工程师数小时的工作压缩到十几分钟，让学习者能把精力放在技术逻辑理解上。对于以拼多多为代表的高阶实训案例而言，这种"人负责思路、AI负责执行"的协作模式，或许正是未来Web逆向的常态。

提示：本文所述技术仅用于安全研究与学习交流，请勿用于任何违反平台规则或法律法规的用途。