cursornew2026/deobfuscated/ANALYSIS.md

CursorPro 反混淆分析报告

项目结构

deobfuscated/
├── extension.js          # 扩展主入口
├── api/
│   └── client.js         # API 客户端
├── utils/
│   ├── account.js        # 账号管理工具
│   └── sqlite.js         # SQLite 数据库操作
└── webview/
    └── provider.js       # Webview 提供者

功能分析

1. extension.js - 扩展入口

• cleanServiceWorkerCache(): 清理 Cursor 的 Service Worker 缓存
• activate(): 注册 webview provider 和状态栏
• updateUsageStatusBar(): 更新状态栏显示使用量

2. api/client.js - API 客户端

与远程服务器通信，主要 API：

函数	端点	说明
verifyKey()	POST /api/verify	验证激活码
switchAccount()	POST /api/switch	切换账号
getSeamlessStatus()	GET /api/seamless/status	获取无缝模式状态
injectSeamless()	POST /api/seamless/inject	注入无缝模式
getProxyConfig()	GET /api/proxy-config	获取代理配置

默认 API 服务器: https://api.cursorpro.com (从混淆代码中提取)

3. utils/account.js - 账号管理

getCursorPaths() - 返回 Cursor 配置路径：

平台	数据库路径
Windows	%APPDATA%/Cursor/User/globalStorage/state.vscdb
macOS	~/Library/Application Support/Cursor/User/globalStorage/state.vscdb
Linux	~/.config/Cursor/User/globalStorage/state.vscdb

writeAccountToLocal() - 写入账号数据到本地：

• 修改 SQLite 数据库中的认证 token
• 更新 storage.json 中的设备 ID
• 写入 machineid 文件
• Windows: 写入注册表

关键数据库字段：

cursorAuth/accessToken        - 访问令牌
cursorAuth/refreshToken       - 刷新令牌
cursorAuth/WorkosCursorSessionToken - WorkOS 会话令牌
cursorAuth/cachedEmail        - 缓存邮箱
cursorAuth/stripeMembershipType - 会员类型
telemetry.serviceMachineId    - 服务机器ID
telemetry.devDeviceId         - 设备ID

4. utils/sqlite.js - SQLite 操作

通过 sqlite3 命令行工具直接操作 Cursor 的 VSCode 状态数据库：

• sqliteGet() - 读取单个值
• sqliteSet() - 写入单个值
• sqliteSetBatch() - 批量写入 (使用事务)

5. webview/provider.js - Webview 界面

实现侧边栏 UI，提供：

• 激活码验证界面
• 使用统计显示
• 无缝模式配置
• 代理设置
• 账号切换功能

工作原理

┌─────────────────────────────────────────────────────────────┐
│                     CursorPro 工作流程                        │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  1. 用户输入激活码                                           │
│          ↓                                                  │
│  2. 发送到远程 API 服务器验证                                  │
│          ↓                                                  │
│  3. 服务器返回账号数据 (token, email, 设备ID等)                │
│          ↓                                                  │
│  4. 写入本地 Cursor 配置文件:                                  │
│     - state.vscdb (SQLite 数据库)                            │
│     - storage.json                                          │
│     - machineid                                             │
│          ↓                                                  │
│  5. 提示重启 Cursor 生效                                      │
│                                                             │
└─────────────────────────────────────────────────────────────┘

安全风险分析

1. 远程服务器控制: 所有账号数据来自 api.cursorpro.com
2. 本地文件修改: 直接操作 Cursor 数据库和配置文件
3. 设备指纹伪造: 替换 machineId, devDeviceId 等标识
4. 进程控制: 可强制关闭 Cursor 进程

混淆技术分析

原代码使用了以下混淆技术：

1. 字符串数组 + 解密函数: 所有字符串存储在数组中，通过 RC4 算法解密
2. 十六进制变量名: _0x50c5e9, _0x2b0b 等
3. 控制流平坦化: 使用 switch-case 打乱代码执行顺序
4. 死代码注入: 插入无用的条件分支
5. Base64 + RC4 双重编码: 字符串先 Base64 再 RC4 加密

---

此分析仅供安全研究和学习目的