JS逆向无限debugger，混淆

最新推荐文章于 2024-03-27 22:13:51 发布

夏天的风夏天的风

最新推荐文章于 2024-03-27 22:13:51 发布

阅读量299

点赞数

分类专栏： web逆向文章标签： javascript 开发语言 ecmascript

本文链接：https://blog.csdn.net/Python9724/article/details/132324463

版权

web逆向专栏收录该内容

16 篇文章 0 订阅

订阅专栏

先在api接口里看回来的数据有咩有混淆（启动器里看）

是一个类对象的方法直接搜索decrypt(

设置-------代码折叠

浏览器指纹绕过

curl_cffi: 支持原生模拟浏览器 TLS/JA3 指纹的 Python 库_Resphalios的博客-CSDN博客

无限debugger的解决方案

测试浏览器相等

(function () {}).constructor === Function 返回tucu的话就可以直接过dug

Function.prototype.constructor =function(){}

1，禁用所有的断点-----》开启所有断点不启用

2，禁用一处断点----》找到关键位置然后设置永不再此断

3，条件断点-------》也是在关键点找到后加一个条件可以直接加fales让他不执行着

4，中间人工具替换特征字符串 feddler去写js替换
5，reres 替换本地修改过的文件

6，重写关键函数 -----》先把断点打在bug函数的下面，等断点出现后在控制台重写bug函数，让他置空

混淆

JavaScript 压缩
混淆 + 加密
1. 接口加密技术:
针对某些接口进行加密 -> url 参数校验编号编码 (token sign 签名算法加密)

2. JavaScript压缩混淆加密技术:
JavaScript特点:
1. 客户端 ->必须要在用户浏览器加载并运行的
2. 公开透明的浏览器获取JavaScript源代码

2.1 代码压缩:

2.2 代码混淆

2.3 代码加密 eval

3. 接口加密:
3.1 完全开放接口

3.2 接口参数加密:
接口校验方式 -> base64 Hex编码 MD5 AES DES RSA 等等加密技术
sign -> 服务器和客户端校验 -> url path MD5加密 URL参数 base64编码 sign(aabbccvv)
-> request url 某个参数请求头某个参数
服务器 -> 对比客户端sign 服务器生成 sign 是否一致

www.baidu.com?word='xxxbbdbdd'(加密?)

提交?

4. JS混淆中混淆手段:
变量混淆:

字符串混淆

属性加密

僵尸代码

控制流平坦化（for 和 switch语句）

多态变异

反格式化

特殊编码

静态图片 -> 假的详情页图片地址 https://www.img.com?abbcv假的sfhjasgfah
首页的图片里面小图图片地址 (xxxxxx/dasgasga/asfasfgas/sagfas.png)

JavaScript-obfuscator 对代码实现的混淆
https://obfuscator.io/ ES8 免费

npm init 初始化工作区域
npm install --save-dev javascript-obfuscator 下载混淆包

5. JavaScript 加密:
Emscripten:
asm.js
文本
WebAssembly:
二进制字节码

const code = `
let hello = '1' + 1
console.log('hello', hello)
`

const options = {
    compact: false,  // 是否压缩
    // mangled 变量名替换成普通的 简写字符
    // hexadecimal 替换为16进制字符串
//    identifierNamesGenerator: 'hexadecimal'
    // 代码体积变小
    // 拼接了前缀
//    identifiersPrefix: 'germey'
    // 指定是否混淆全局变量 或者函数名称
    renameGlobals: true
}

const obfuscator = require('javascript-obfuscator')
function obfuter(code, options){
    return obfuscator.obfuscate(code, options).getObfuscatedCode()
}
console.log(obfuter(code, options))