1. 项目概述：当数据穿上SM4的“小马甲”
最近在分析某个行业数据查询平台（这里我们姑且称之为“行行查”）的接口时，遇到了一个挺有意思的挑战。它的核心数据接口返回的响应体，乍一看是一串毫无规律的、长得像Base64的字符串，但常规的Base64解码后得到的却是乱码。这通常意味着数据在传输前被额外“包装”了一层。通过抓包工具对请求响应流程的仔细比对和逆向分析，我发现这层“包装”正是国密算法SM4。这就像数据穿上了一件定制的“小马甲”，不搞清楚这件马甲的材质和穿法，你就没法看到里面的真实内容。
SM4作为一种分组密码算法，在不少对数据安全有特定要求的国内应用场景中越来越常见。它和AES类似，都属于对称加密，加解密使用同一个密钥。但它的算法结构、S盒和密钥扩展方式都是自主设计的。面对这样一个被SM4加密的响应体，我们的目标很明确：逆向分析出它的加密模式、填充方式、密钥以及初始向量（IV），最终实现一个能够稳定解密的工具或脚本。这个过程不仅涉及对加密算法本身的理解，更考验我们在缺乏文档的情况下，如何通过黑盒测试、代码分析和逻辑推理来还原整个加解密流程。对于从事数据爬取、安全研究或接口调试的开发者来说，这是一项非常实用的技能。
2. 逆向分析的核心思路与准备工作
逆向一个加密接口，不能像无头苍蝇一样乱撞。一个清晰的思路能事半功倍。我们的核心目标是还原服务端的加密过程，并在客户端复现解密过程。整个过程可以拆解为几个关键步骤。
2.1 逆向分析的基本方法论
首先，要明确逆向分析不是猜谜，而是基于证据的推理。我们的所有结论都应该来源于对客户端（通常是网页或App）行为的观察和分析。基本思路是“由外而内，动静结合”：
2.2 必备工具与环境搭建
工欲善其事，必先利其器。以下是进行此类逆向分析的常用工具栈：
1. 网络抓包与分析工具：
- Fiddler / Charles ：功能强大的HTTP/HTTPS代理工具，可以拦截、查看和修改所有经过设备的网络流量。配置手机代理后，可以抓取App的请求，这是分析移动端接口的必备技能。需要安装并信任其根证书以解密HTTPS流量。
- 浏览器开发者工具 (DevTools) ：对于Web端分析，这是核心工具。 Network 面板用于抓包， Sources 面板用于查看和调试JavaScript代码， Console 面板可以执行代码片段进行测试。
2. 代码搜索与调试工具：
- 全局搜索 ：在DevTools的 Sources 面板中，使用 Ctrl+Shift+F 进行全局文件搜索，关键词如 sm4 、 encrypt 、 decrypt 、 CryptoJS 、 bcprov （Bouncy Castle库的常见标识）等。
- 美化（Pretty Print） ：面对被压缩成单行的JS代码，点击代码面板左下角的 {} 按钮进行格式化，让代码恢复可读性。
- 断点调试 ：在疑似加密函数所在行号上点击，设置断点。重新触发请求，代码执行会在断点处暂停，此时可以在 Scope 和 Watch 面板中查看所有变量的值。
3. 加解密验证与算法库：
- 在线加解密工具 ：用于快速验证猜想。例如，可以搜索“SM4在线加密解密”，找到一些提供Web界面的工具。输入你推测的密钥、IV、模式和明文，看生成的密文是否与抓包结果一致。 注意 ：切勿在不可信的网站上使用真实业务的密钥或敏感数据。
- 本地算法库 ：最终实现解密需要依赖可靠的库。在Python中，常用的有 gmssl 库（国密算法实现）和 cryptography 库。在JavaScript环境中，可能会遇到 CryptoJS 的自定义扩展或直接使用 bcprov-jdk18on 库的Java版本（在Android逆向中常见）。
4. 编程环境：
- Python环境 ：安装 requests 用于模拟请求， gmssl 用于SM4算法操作。 pip install gmssl 即可。
- Node.js环境 ：如果加密逻辑是用JS实现的，你可能需要在一个独立的Node环境中复现并调试这段JS代码。
