网站的 js 文件被编码/加密了，请教如何解码/解密

[yxnwh]

最近想研究下小蚁 app 的自动化签到，发现其签到的链接中有一个 hmac 参数应该是由一定规律生成并经 base64 加密的，于是想从网站的 js 文件中寻找 hmac 参数的生成规律，结果发现 js 文件均被编码 /加密化了，想请教该如何解码 /解密，谢谢！

http://app.xiaoyi.com/cnApph5/_nuxt/f118e97bbcaab8f492a4.js

http://app.xiaoyi.com/cnApph5/_nuxt/ae71fc08bc9bf6f6ccf5.js

http://app.xiaoyi.com/cnApph5/_nuxt/26e00da666be514e9378.js

http://app.xiaoyi.com/cnApph5/_nuxt/d1077a3d71f4093bd8d2.js

http://app.xiaoyi.com/cnApph5/_nuxt/3d1b0b24ca149b778f98.js

[mm163]

就是简单的 ascii 码，把\xXX 的都转成字符就行了。

[pengtdyd]

换一个思路，不解密，直接用它的源码

[yxnwh]

@mm163 多谢，我转换一下试试

[yxnwh]

@pengtdyd 有好多个 js 文件，不知道哪一个包含生成 hmac 函数的

[coolan]

https://www.prettifyjs.net/ 这玩意看起来乱得很

[locoz]

https://ob.nightteam.cn/
请

[KuroNekoFan]

为什么要研究这个呢，彻底点换成 wasm 模块你就啥都看不到了啊

[musi]

相比于解密，感觉运行时去 debug 要简单一点

[yxnwh]

@musi 小蚁 app 是在手机上运行的一个 app ，不是一个单独的网页，可以 fiddler 抓包然后 debug 吗？对这一块不熟悉，求一个思路~

[yazoox]

@locoz 这是个啥网站，还可以还原 js 代码。好清爽！
你们自己搭的？

[locoz]

@yazoox #10 我们团队的蔡老板搞的一个小工具

[tsanie]

@locoz 捉个小虫，.ob-recovery .top-bar 加一个 box-sizing: border-box 😂

[lqfxz520]

好奇怎么把代码转吗码的，使用什么工具

[Juszoe]

建议反编译 app 进行动态调试，光抓包很难看出什么，何况这 js 并不一定包含 hmac 的加密逻辑

[yxnwh]

@Juszoe 好像被我解决了，分析了另外一个 js （ http://app.xiaoyi.com/cnApph5/_nuxt/247c36a83845ea02d71b.js ），然后搜索 hmac ，就找到了他的加密函数，我对 js 不是太精通，于是借助 vscode 对函数内的每一条语句单独调试，看看结果到底是什么，基本就摸清楚了

[yxnwh]

@locoz 代码粘贴进去点还原，总是报错，还是用回笨办法，用了楼上一位老哥的链接，把 js 美化 /反混淆后直接硬着头皮去研究

[lvsemi1]

@KuroNekoFan 是什么让你产生了 wasm 就解密不了的错觉？

[ClarkAbe]

@KuroNekoFan 你这话说得就和 jar 就不能反编译一样，而且 wasm 的可读性其实还更好

[locoz]

@tsanie #12 👌谢谢，已修复

[locoz]

@lqfxz520 #13 这个不叫“转码”，叫“混淆”。原理就是通过将代码解析成 AST ，然后在各个节点前后添加无意义的额外操作或实际根本不会执行的代码，又或是处理成一些对于程序执行而言逻辑一样但人看着会很复杂的样子，处理完再把 AST 转换回代码，就会是这个效果了。

市面上很多混淆工具都是基于 https://github.com/javascript-obfuscator/javascript-obfuscator 这个项目搞的，基于这个项目的在线工具 https://obfuscator.io/ ，还有一些颜文字混淆之类的简单混淆工具网上搜一下很多，你可以自己玩玩。