---
title: Hello JS Reverse Skill（Web 逆向工程）
type: reference
tags:
  - AI agent
  - skill
  - JS逆向
  - 反爬
  - 加密还原
  - hello_js_reverse_skill
created: 2026-08-18
audience: human + AI
language: zh-CN
---

# Hello JS Reverse Skill（Web 逆向工程）

> AI 驱动的 Web 逆向工程 —— 接口签名还原与反爬对抗，覆盖加密还原、混淆分析、动态 Cookie、WASM 逆向、协议对抗全链路。

## 基本信息

| 项目 | 内容 |
|---|---|
| 仓库 | https://github.com/WhiteNightShadow/hello_js_reverse_skill |
| 版本 | v3.3.x |
| Stars | 约 944 |

## 核心架构

围绕 [`camoufox-reverse` MCP](https://github.com/WhiteNightShadow/camoufox-reverse-mcp)（Camoufox 反检测浏览器，32+ 工具）构建单一工作流：

1. 先用浏览器完成：网络捕获 / 源码定位 / Hook 调试 / 反检测验证
2. 再落地为 **Node.js 或 Python 纯协议脚本**（浏览器只用于分析验证，不作为最终方案）

## 关键能力

- **加密算法还原** — MD5/AES/DES/RSA/HMAC 等，Node.js（crypto/crypto-js/node-forge）与 Python（hashlib/pycryptodome）双语言路径
- **混淆还原** — OB 混淆、控制流平坦化、eval 打包、自定义 VM/JSVMP
- **JSVMP 四板斧** — Hook / 插桩 / 日志 / 源码级插桩，对 RS 5/6、Akamai sensor_data、webmssdk、obfuscator.io 有效
- **反爬三分法决策** — 签名型(RS/Akamai) / 行为型(TK/JY) / 纯混淆，三类工具路径完全不同，避免"observer effect 破坏签名"
- **Cookie 归因分析** — `analyze_cookie_sources` 区分 HTTP Set-Cookie 与 JS document.cookie，回答"这个 Cookie 谁写的"
- **动态 Cookie 逆向** — eval 首包、api 预热、浏览器指纹等机制
- **WASM 逆向** — 加载、环境补全、导出函数调用
- **协议层对抗** — TLS 指纹检测、HTTP/2 强制、频率限制
- **反调试 / 环境检测对抗** — debugger 绕过、webdriver/蜜罐/指纹检测

## 降级优先级（禁止跳级）

```
纯 crypto 还原 → 最小环境复现 → vm 沙箱执行 JS → TLS 指纹模拟（got-scraping/curl_cffi）→ 才允许浏览器自动化
```

## JSVMP 双路径决策

| 路径 | 目标 | 方法 | 适用场景 | 典型用时 |
|---|---|---|---|---|
| A：算法追踪 | 纯代码还原算法 | 四板斧（Hook/插桩/日志/源码级插桩） | 算法可提取、环境依赖少 | 4-8 小时 |
| B：环境伪装 | 在 jsdom/vm 运行原始 JSVMP | 环境采集→对比→补丁（markNative 三层防御） | 环境深度绑定、算法不可提取 | 2-4 小时 |

## 场景速查（部分）

| 场景 | 技术点 |
|---|---|
| 请求参数签名 | MD5/HMAC/自定义哈希 |
| 动态 Cookie | eval 首包 / api 预热 / 指纹 Cookie |
| 响应数据加密 | AES/DES/RC4 解密 |
| JSVMP 虚拟机保护 | Hook / 插桩 / 日志 / 源码级插桩 |
| WASM 加密 | 加载 / 环境补全 / 导出函数调用 |
| TLS 指纹 | Camoufox / curl-impersonate / curl_cffi |
| 字体反爬 | 字体文件解析 / CMAP 映射 |
| WebSocket | WS 消息分析 / 协议解析 |
| 反调试 | debugger 绕过 / 检测对抗 |
| 反检测站点 | Cloudflare / RS / JY 绕过 |

## 安装方式

1. 对 AI agent 说"安装 hello_js_reverse_skill"（推荐，AI 自动配置）
2. 手动：克隆仓库到对应 AI 工具（Cursor / Claude Code / Codex）的 skills 目录

> ⚠️ 注意：该 Skill 面向反爬对抗，仅应针对自有或已获授权的平台使用。