抓包工具是工具js逆向的起点。你打开浏览器开发者工具，工具Network面板里躺着所有请求，工具但真正的工具战场在Sources里。那些压缩成一行、工具变量名全是工具a、b、工具c的工具代码，才是工具你要啃的骨头。

先说断点。工具你不需要读懂全部代码，工具只需要在关键位置停住。工具比如某个加密参数生成后，工具你可以在调用栈里往回翻，工具找到那个函数。工具鼠标悬停在变量上，值就出来了。这招对付大多数网站够用。但有些站点做了反调试，你一开DevTools就死循环或者白屏。这时候得用条件断点，或者干脆Hook掉debugger函数。

Hook是逆向的浪漫。你想看某个函数被调用了多少次、传了什么参数、返回了什么值，直接在控制台里把原函数替换掉，加上日志再调回去。比如常见的加密函数，你可以在window对象上拦截它的setter。这种操作不需要理解算法本身，纯粹靠观察数据流就能摸清逻辑。我见过有人用三十行Hook代码，绕过了某大厂的签名校验，全程没看算法一眼。

加密算法本身是另一座山。MD5、SHA、AES、RSA，这些名字听着唬人，但工具能帮你省掉大半时间。CyberChef是个好东西，拖拽式操作，加解密、编码转换、哈希计算全都有。遇到标准算法，直接拖进去试。非标准的，比如自定义的位移或异或操作，就得靠Python脚本或者Node.js跑一遍，比对结果。这时候别偷懒，把加密前后的数据都抓下来，用脚本逐字节分析，规律往往就藏在差异里。

补环境是进阶玩家的游戏。有些网站用了浏览器指纹检测，你直接跑Node.js模拟会报错。这时候得用jsdom或者puppeteer搭个假浏览器环境，把window、navigator、document这些对象都补上。麻烦是真麻烦，但效果立竿见影。有个技巧：把目标网站的原生JS文件下载下来，在本地跑，缺什么补什么，直到不报错为止。这个过程像拼图，每补一块就离真相近一步。

别忘了AST这个冷门但好用的东西。代码混淆得再狠，AST能帮你还原结构。把压缩后的代码解析成语法树，再遍历节点，修改或者提取关键信息。比如混淆过的字符串数组，通过AST可以批量解出来。这活儿用Babel就能干，网上有现成的插件模板，改改就能用。我上次逆向某个电商平台的登录接口，就是用AST把混淆的加密函数还原成半可读状态，半小时就找到了参数拼接逻辑。

最后说个实在的：逆向不是死磕。遇到特别硬的站点，先看有没有别的入口。比如App端抓包比Web端容易，或者老版本API没加固。换个思路往往比硬刚节省时间。工具是死的，人是活的。你积累的每一个绕过技巧、每一段Hook代码，最后都会变成你的肌肉记忆。等哪天你看到加密参数，一眼就能猜出是哪个库生成的，那就算出师了。