ast-deobfuscate

ast-deobfuscate

对 $ARGUMENTS 执行 AST 解混淆，最大化还原可读代码。

工具链: @babel/parser + @babel/traverse + @babel/generator + @babel/types

---

工作目录约定

project/
├── source/
│   └── original/          # 原始混淆文件（只读，不修改）
│       └── target.js
├── scripts/               # 解混淆脚本（每步一个，一次性，针对目标定制）
│   ├── step1_string_decrypt.js
│   ├── step2_expr_simplify.js
│   └── ...
├── intermediate/          # 中间产物（每步输出，可回退）
│   ├── target_step0.js    # 格式化 + 去反调试
│   ├── target_step1.js    # 字符串解密后
│   ├── target_step2.js    # 表达式简化后
│   └── ...
└── source/
    └── deobfuscated/      # 最终输出
        └── target_deobf.js

原则: 每个步骤读取上一步的中间文件，输出新的中间文件。出错时可从任意中间文件重新开始。

环境初始化

解混淆脚本基于 Babel 工具链运行在 Node.js 中。首次执行前检查并安装依赖：

# 在项目根目录检查 package.json，没有则初始化
npm init -y
npm install @babel/parser @babel/traverse @babel/generator @babel/types
# 如需格式化
npm install prettier

---

执行策略

整体原则

本 skill 是百科全书，不是固定流水线。执行者根据实际代码灵活选择步骤：

1. 进入计划模式: 先完成 Step 0 分析，然后进入计划模式，向用户展示分析结果和建议的步骤组合，获得确认后再执行
2. 按需跳步: 没有字符串数组就跳过 Step 1，没有控制流平坦化就跳过 Step 4
3. 随时调整: 任何步骤执行后发现新情况，都可以回退或插入额外步骤
4. MCP 用于分析和验证: js-reverse MCP 用于获取源码、搜索特征、小规模验证方案可行性；大批量转换和验证通过 Node.js 脚本执行

MCP 使用时机

MCP 的定位是分析工具和验证探针，不是批量执行引擎。

阶段	MCP 用法
分析阶段	search_in_sources 搜索混淆特征；get_script_source 获取目标脚本
方案验证	evaluate_script 执行几个解密调用，确认方案可行后再写批量脚本
中间验证	evaluate_script 抽样对比解混淆前后的函数输出
控制流分析	set_breakpoint + step_over 动态跟踪 switch-case 执行顺序
最终验证	在浏览器中用解混淆后的代码替换原始代码，验证功能正常

大批量字符串解密、表达式简化、死代码移除等转换工作，全部通过 Node.js 脚本 + Babel AST 完成。

Subagent 并行策略

可并行的任务组合：

• Step 0 中：特征识别 + 反调试代码搜索
• Step 2 中：Proxy 函数识别 + 对象字典识别（互不依赖）
• 验证阶段：多组测试数据可并行验证

---

技术手册

以下是各类解混淆技术的详细参考。根据 Step 0 的分析结果，选择需要的章节执行。

---

Step 0: 预分析与特征识别

目标: 了解混淆类型和程度，为后续步骤提供参考（非硬性路由）。

0.1 获取源码

本地文件: 直接读取 $ARGUMENTS
URL: 下载后保存到 source/original/
浏览器中（代码尚未下载到本地）:
  - 用 MCP list_scripts → get_script_source 获取
  - 可用 search_in_sources 做关键词快速扫描:
    "_0x" → 确认混淆前缀    "debugger" → 定位反调试
    "push" + "shift" → 旋转 IIFE    "split('|')" → 控制流平坦化