1. 项目概述与核心挑战
最近在分析一个教育类网站的登录流程时，遇到了一个典型的“前端加密+后端验证”的案例，目标站点是某闽南地区师范类大学的门户或教务系统。这类系统通常承载着学生选课、成绩查询等核心功能，其登录接口的安全防护往往比普通网站要强一些。我拿到的这个案例，前端登录密码使用了AES-ECB模式进行加密，并且整个JavaScript代码经过了Obfuscator（简称ob）的混淆处理，整体难度可以归为中等偏上，非常适合用来深入理解现代Web逆向中常见的加密与混淆对抗技术。
这个项目对于从事数据采集、安全研究或者单纯想理解前端安全机制的朋友来说，是一个很好的练手材料。它不像那些只用Base64或简单MD5的站点那么直白，也不至于像遇到WebAssembly或强VMP保护那样让人无从下手。通过拆解它，你不仅能学会如何定位关键加密函数、理解AES的工作模式，更能掌握一套应对代码混淆的通用分析思路。无论你是想补全爬虫的登录模块，还是想深入前端安全领域，这个案例中的技术点——Python模拟请求、JS逆向、加密算法识别、混淆代码还原——都是必须跨越的关卡。接下来，我就把这次逆向分析的完整过程、踩过的坑以及最终成型的Python代码分享给大家。
2. 逆向环境准备与工具链选型
工欲善其事，必先利其器。面对混淆的JS和加密的请求，一套顺手的工具能极大提升效率。我的核心思路是“浏览器调试定位，Node.js模拟验证，Python最终实现”。
2.1 浏览器开发者工具：定位入口的侦察兵
Chrome或Edge的开发者工具是第一步的主战场。关键操作在于登录流程的录制与监听。
2.2 逆向辅助工具：破解混淆的钥匙
面对ob混淆，代码通常被压缩、变量名被替换成单字符、字符串被编码，可读性极差。我们需要工具来“美化”和“解密”。
global.window = {
location: {},
document: {}
};
global.navigator = {
userAgent: \’Mozilla/5.0…\’
};
2.3 Python最终实现：稳定运行的采集端
当我们在Node.js中成功模拟出加密函数后，最后一步就是将其移植到Python，构建稳定的爬虫。
注意 ：在整个过程中，务必遵守目标网站的 robots.txt 协议，控制请求频率，避免对对方服务器造成压力。逆向分析的目的应是学习技术与解决合法需求下的自动化问题。
3. 登录流程分析与关键加密函数定位
分析登录流程，就像是拆解一个黑盒。我们的目标是找到那个把明文密码变成密文的“魔法盒子”。
3.1 网络请求抓取与初步判断
按照2.1的步骤操作后，我捕获到了登录请求。它是一个 POST 请求，发送到类似 /api/login 或 /auth/login 的端点。请求负载（Request Payload）通常是一个JSON对象，结构如下：
{
\”username\”: \”2023111001\”,
\”password\”: \”U2FsdGVkX19qBzP6…（很长一串Base64样式的字符串）\”,
\”captcha\”: \”1234\”,
\”rememberMe\”: false
}
</
