AST入门与实战(一):基于babel库的js反混淆通用模板

最新推荐文章于 2024-05-14 11:04:58 发布
最新推荐文章于 2024-05-14 11:04:58 发布
阅读量696 收藏
点赞数
文章标签： javascript 反混淆 ast babel 逆向 js逆向
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Qiled/article/details/132227687
版权

AST入门与实战(一):基于babel库的js反混淆通用模板

首发地址:http://zhuoyue360.com/jsnx/106.html

1. 模板代码

通用模板来源自菜老板的知识星球.

const fs = require('fs');
const types = require("@babel/types");
const parser = require("@babel/parser");
const template = require("@babel/template").default;
const traverse = require("@babel/traverse").default;
const generator = require("@babel/generator").default;


//js混淆代码读取
process.argv.length > 2 ? encodeFile = process.argv[2] : encodeFile = "./encode.js";  //默认的js文件
process.argv.length > 3 ? decodeFile = process.argv[3] : decodeFile = encodeFile.slice(0, encodeFile.length - 3) + "_ok.js";

//将源代码解析为AST
let sourceCode = fs.readFileSync(encodeFile, { encoding: "utf-8" });
let ast = parser.parse(sourceCode);
console.time("处理完毕，耗时");






const visit =
{
	// TODO write your code here!
}

traverse(ast, visit);





const simplifyLiteral = {
	NumericLiteral({ node }) {
		if (node.extra && /^0[obx]/i.test(node.extra.raw)) {
			node.extra = undefined;
		}
	},
	StringLiteral({ node }) {
		if (node.extra && /\\[ux]/gi.test(node.extra.raw)) {
			node.extra = undefined;
		}
	},
}


traverse(ast, simplifyLiteral);


console.timeEnd("处理完毕，耗时");
let { code } = generator(ast, opts = { 
	"compact"     : false,  // 是否压缩代码
  "comments"    : false,  // 是否保留注释
	"jsescOption" : { "minimal": true },  //Unicode转义
});

fs.writeFile(decodeFile, code, (err) => { });

2. 插件编写

1. 准备工作

我们已经拿到了最基础的使用模板以后,此时我们的ast反混淆已经成了一个填空题. 我们只需要把我们写好的网站反混淆插件填入即可,非常的简单. 接下来,我们找个简单的小案例来试试.

混淆代码均来自于:https://obfuscator.io/ 网站生成.

源代码:


function hi() {
  console.log("Hello,zhuoyue360.com");
}
function h3i() {
  console.log("Hello,zhuoyue360.com");
}function h2i() {
  console.log("Hello,zhuoyue360.com");
}function h44444i() {
  console.log("Hello,zhuoyue360.com");
}
hi();

混淆后的代码:(格式化后)

(function(_0x42555b, _0x288c31) {
    var _0x2e2c7a = _0x4f09
      , _0x264ee4 = _0x42555b();
    while (!![]) {
        try {
            var _0x54167b = parseInt(_0x2e2c7a(0x106)) / 0x1 * (-parseInt(_0x2e2c7a(0x10a)) / 0x2) + -parseInt(_0x2e2c7a(0x109)) / 0x3 * (parseInt(_0x2e2c7a(0x10b)) / 0x4) + -parseInt(_0x2e2c7a(0x10e)) / 0x5 * (parseInt(_0x2e2c7a(0x111)) / 0x6) + -parseInt(_0x2e2c7a(0x110)) / 0x7 + parseInt(_0x2e2c7a(0x10c)) / 0x8 + parseInt(_0x2e2c7a(0x10d)) / 0x9 * (parseInt(_0x2e2c7a(0x10f)) / 0xa) + parseInt(_0x2e2c7a(0x108)) / 0xb;
            if (_0x54167b === _0x288c31)
                break;
            else
                _0x264ee4['push'](_0x264ee4['shift']());
        } catch (_0x1b893f) {
            _0x264ee4['push'](_0x264ee4['shift']());
        }
    }
}(_0x49be, 0xbbf5c));
function hi() {
    console['log']('Hello,zhuoyue360.com');
}
function _0x4f09(_0xd05c9f, _0x352733) {
    var _0x49beab = _0x49be();
    return _0x4f09 = function(_0x4f0967, _0x3191e8) {
        _0x4f0967 = _0x4f0967 - 0x105;
        var _0x4f9c38 = _0x49beab[_0x4f0967];
        return _0x4f9c38;
    }
    ,
    _0x4f09(_0xd05c9f, _0x352733);
}
function _0x49be() {
    var _0x13bd5d = ['12032256MLzLfN', '1251zScKBQ', '25cNqVzl', '270jbEuTF', '5872188ZkfPRj', '1062282TyhTBn', 'Hello,zhuoyue360.com', '1kakbhL', 'log', '11816574EYEQFr', '66741ytXvQy', '42550jdDgVb', '12QEFacN'];
    _0x49be = function() {
        return _0x13bd5d;
    }
    ;
    return _0x49be();
}
function h3i() {
    var _0x2b1dcb = _0x4f09;
    console[_0x2b1dcb(0x107)](_0x2b1dcb(0x105));
}
function h2i() {
    var _0xa95bed = _0x4f09;
    console[_0xa95bed(0x107)](_0xa95bed(0x105));
}
function h44444i() {
    var _0xb505a4 = _0x4f09;
    console[_0xb505a4(0x107)](_0xb505a4(0x105));
}
hi();

我们要尽可能的把混淆后的代码转换成源代码 .此时,我们就需要借助另外一个网站:

https://astexplorer.net/

配置如下, 具体的大家自行在网络上查看相关资料.

image-20230811101411566

好了,目前我们所有的工作已经准备完成,我们就开始看如何还原代码了.

1. 函数调用计算

在下面这个案例中, 我们知道函数调用的真正方法是 _0x4f09 , 然后再使用_0x4f09 的每个函数的第一行都是var xxxxx= _0x4f09; 类似的赋值操作

function _0x4f09(_0xd05c9f, _0x352733) {
    var _0x49beab = _0x49be();
    return _0x4f09 = function(_0x4f0967, _0x3191e8) {
        _0x4f0967 = _0x4f0967 - 0x105;
        var _0x4f9c38 = _0x49beab[_0x4f0967];
        return _0x4f9c38;
    }
    ,
    _0x4f09(_0xd05c9f, _0x352733);
}

function h3i() {
    var _0x2b1dcb = _0x4f09;
    console[_0x2b1dcb(0x107)](_0x2b1dcb(0x105));
}
function h2i() {
    var _0xa95bed = _0x4f09;
    console[_0xa95bed(0x107)](_0xa95bed(0x105));
}
function h44444i() {
    var _0xb505a4 = _0x4f09;
    console[_0xb505a4(0x107)](_0xb505a4(0x105));
}

所以,我们的脚本可以按照下面的思路进行编写

  1. 可以先枚举所有函数.
  2. 函数的第一行代码是不是类似于var xxxxx= _0x4f09;
  3. 找到使用xxxxx的函数调用,进行替换

那么让我们来编写第一个脚本.funcCallReplace

1. 枚举所有函数

根据工具提示,该节点是FunctionDeclaration

image-20230811103028168

所以,我们初步的代码为:

const funcCallReplace = {
    FunctionDeclaration(path){
        let {node} = path;
        console.log(node.id.name)
    }
}

traverse(ast, funcCallReplace);

为了验证,我把返回枚举到的函数名称都给列举出来了.

node .\main.js
hi
_0x4f09
_0x49be
h3i
h2i
h44444i
处理完毕，耗时: 10.56ms
2. 函数的第一行代码是不是类似于var xxxxx= _0x4f09;

我们可以看到,目标函数的body的第一行,都是VariableDeclaration

image-20230811103543234

同时,VariableDeclarator的init 节点的callee的name 的内容为_0x49be

image-20230811103711391

过滤条件搞清楚了,我们就来继续更新我们上面写的代码吧~

通过下面代码,我们已经可以把关键的函数过滤出来了~

const funcCallReplace = {
    FunctionDeclaration(path){
        let {node} = path;
        // 1. 拿到body
        let body = node.body.body;
        // 2. 判断body的第一条是否为VariableDeclaration
        if (body.length == 0 || body[0].type != 'VariableDeclaration' || body[0].declarations.length ==0) return 
        let declaration = body[0].declarations[0];
        if (declaration.init == undefined || declaration.init.name != '_0x4f09') return
        let varName = declaration.id.name
        console.log(node.id.name)
        console.log(varName)
    }   
}

traverse(ast, funcCallReplace);

执行后的结果:

h3i
main.js:33
_0x2b1dcb
main.js:34
h2i
main.js:33
_0xa95bed
main.js:34
h44444i
main.js:33
_0xb505a4
main.js:34
处理完毕，耗时: 3834.485107421875ms
main.js:61
处理完毕，耗时: 3.835s

然后,我们就需要看看谁用了varName, 然后我们把它给替换掉即可.

// 取自蔡老板星球脚本的代码.
function getAllBindingInfo(name,scope){
    let pathList = [];
    // 查看引用
    const bindings = scope.getBinding(name);
    if (!bindings ){
        return pathList;
    }
    for(let referPath of bindings.referencePaths){
        // 获取父节点
        let parentPath = referPath.parentPath
        // 判断类型.
        if (parentPath.isVariableDeclarator()){
            // 获取变量名称
            let {node,scope} = parentPath;
            let varName = node.id.name;
            pathList = [].concat(pathList,getAllBindingInfo(varName,scope));
            // 删除掉这些节点.
            parentPath.remove()
        }else{
            pathList.push(parentPath)

        }

    }
    // console.log(name,pathList)
    return pathList;


}


(function(_0x42555b, _0x288c31) {
    var _0x2e2c7a = _0x4f09
      , _0x264ee4 = _0x42555b();
    while (!![]) {
        try {
            var _0x54167b = parseInt(_0x2e2c7a(0x106)) / 0x1 * (-parseInt(_0x2e2c7a(0x10a)) / 0x2) + -parseInt(_0x2e2c7a(0x109)) / 0x3 * (parseInt(_0x2e2c7a(0x10b)) / 0x4) + -parseInt(_0x2e2c7a(0x10e)) / 0x5 * (parseInt(_0x2e2c7a(0x111)) / 0x6) + -parseInt(_0x2e2c7a(0x110)) / 0x7 + parseInt(_0x2e2c7a(0x10c)) / 0x8 + parseInt(_0x2e2c7a(0x10d)) / 0x9 * (parseInt(_0x2e2c7a(0x10f)) / 0xa) + parseInt(_0x2e2c7a(0x108)) / 0xb;
            if (_0x54167b === _0x288c31)
                break;
            else
                _0x264ee4['push'](_0x264ee4['shift']());
        } catch (_0x1b893f) {
            _0x264ee4['push'](_0x264ee4['shift']());
        }
    }
}(_0x49be, 0xbbf5c));
function _0x4f09(_0xd05c9f, _0x352733) {
    var _0x49beab = _0x49be();
    return _0x4f09 = function(_0x4f0967, _0x3191e8) {
        _0x4f0967 = _0x4f0967 - 0x105;
        var _0x4f9c38 = _0x49beab[_0x4f0967];
        return _0x4f9c38;
    }
    ,
    _0x4f09(_0xd05c9f, _0x352733);
}
function _0x49be() {
    var _0x13bd5d = ['12032256MLzLfN', '1251zScKBQ', '25cNqVzl', '270jbEuTF', '5872188ZkfPRj', '1062282TyhTBn', 'Hello,zhuoyue360.com', '1kakbhL', 'log', '11816574EYEQFr', '66741ytXvQy', '42550jdDgVb', '12QEFacN'];
    _0x49be = function() {
        return _0x13bd5d;
    }
    ;
    return _0x49be();
}
const funcCallReplace = {
    FunctionDeclaration(path){
        let {node,scope} = path;
        // 1. 拿到body
        let body = node.body.body;
        // 2. 判断body的第一条是否为VariableDeclaration
        if (body.length == 0 || body[0].type != 'VariableDeclaration' || body[0].declarations.length ==0) return 
        let declaration = body[0].declarations[0];
        if (declaration.init == undefined || declaration.init.name != '_0x4f09') return
        let varName = declaration.id.name
        console.log(node.id.name)
        console.log(varName)
        // 3. 获取所有引用
        let bindingPathList = getAllBindingInfo(varName,scope);
        console.log(bindingPathList)
        for (let referPath of bindingPathList) {
            // 获取参数,执行函数,替换内容
            let args = referPath.node.arguments;
            if (args == undefined ||args.length != 1){
                continue
            }
            let argValue = referPath.node.arguments[0].extra.raw;
            console.log(argValue)
            referPath.replaceWith(types.valueToNode(_0x4f09(argValue)))
        }
    }   
}

traverse(ast, funcCallReplace);

还原后得代码:

可以看到h3i ,h2i 和h44444i 的内容都清晰课件了.

(function (_0x42555b, _0x288c31) {
  var _0x2e2c7a = _0x4f09,
    _0x264ee4 = _0x42555b();
  while (!![]) {
    try {
      var _0x54167b = parseInt(_0x2e2c7a(262)) / 1 * (-parseInt(_0x2e2c7a(266)) / 2) + -parseInt(_0x2e2c7a(265)) / 3 * (parseInt(_0x2e2c7a(267)) / 4) + -parseInt(_0x2e2c7a(270)) / 5 * (parseInt(_0x2e2c7a(273)) / 6) + -parseInt(_0x2e2c7a(272)) / 7 + parseInt(_0x2e2c7a(268)) / 8 + parseInt(_0x2e2c7a(269)) / 9 * (parseInt(_0x2e2c7a(271)) / 10) + parseInt(_0x2e2c7a(264)) / 11;
      if (_0x54167b === _0x288c31) break;else _0x264ee4['push'](_0x264ee4['shift']());
    } catch (_0x1b893f) {
      _0x264ee4['push'](_0x264ee4['shift']());
    }
  }
})(_0x49be, 769884);
function hi() {
  console['log']('Hello,zhuoyue360.com');
}
function _0x4f09(_0xd05c9f, _0x352733) {
  var _0x49beab = _0x49be();
  return _0x4f09 = function (_0x4f0967, _0x3191e8) {
    _0x4f0967 = _0x4f0967 - 261;
    var _0x4f9c38 = _0x49beab[_0x4f0967];
    return _0x4f9c38;
  }, _0x4f09(_0xd05c9f, _0x352733);
}
function _0x49be() {
  var _0x13bd5d = ['12032256MLzLfN', '1251zScKBQ', '25cNqVzl', '270jbEuTF', '5872188ZkfPRj', '1062282TyhTBn', 'Hello,zhuoyue360.com', '1kakbhL', 'log', '11816574EYEQFr', '66741ytXvQy', '42550jdDgVb', '12QEFacN'];
  _0x49be = function () {
    return _0x13bd5d;
  };
  return _0x49be();
}
function h3i() {
  var _0x2b1dcb = _0x4f09;
  console["log"]("Hello,zhuoyue360.com");
}
function h2i() {
  var _0xa95bed = _0x4f09;
  console["log"]("Hello,zhuoyue360.com");
}
function h44444i() {
  var _0xb505a4 = _0x4f09;
  console["log"]("Hello,zhuoyue360.com");
}
hi();

接下来,就是垃圾代码删除的功能了. 这点留在下一篇文章中!

Qiled
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
es6-lib-template:基于 babel.js 的 ES6 库的模板项目
06-05
**ES6库模板项目简介** `es6-lib-template` 是一个专为开发基于ES6语法的JavaScript库设计的模板项目。它利用了`babel.js`这一强大的工具，将ES6及以上的现代JavaScript语法转换为广泛兼容的ES5，使得新特性的使用...
babel-plugin-treasure:基于 babel-plugin-import ，致力于实现统一库的AST优化需求
05-30
基于babel-plugin-import，我们致力于实现统一库的AST优化需求，响应各种AST节点修改操作的需求。 目前使用统一方便的方式解决任意组件库的按需加载需求 与 babel-plugin-import 的区别 优化点 无破坏性改动，兼容...
AST反混淆js还原工具2.0.zip
04-20
1.基于丁仔大佬js还原工具进行的二次开发，增加功能多达10+， 2.对丁仔大佬已开发的功能进行优化及修改，兼容更多可能，提升兼容性。 3.对1.0版本已存在的错误进行修复 4.针对最新的https://obfuscator.io/混淆规则进行针对性处理 5.提升部分功能的兼容性 6.新增三元表达式转if-else功能，解决原版涉及的作用域问题 目前可处理2022-4-20当前最新的https://obfuscator.io/中的混淆规则，是js逆向与爬虫工程师的应对js混淆的不二神器
AST入门与反混淆初体验
自成背后的博客
02-02 1720
AST入门体验
一. Ast - 反混淆(基础篇)
最新发布
2401_84054263的博客
05-14 1066
AST是抽象语法树的缩写。AST是一种用于表示程序代码结构的树状数据结构。在编译器和解释器中，AST被用于解析和表示源代码的语法结构AST可以看作是源代码的一种抽象表示形式，它去除了源代码中的具体细节，只保留了语法结构和逻辑关系。AST中每个节点(Node) 表示源代码的一个语法元素，例如：变量声明，函数定义，循环语句，等，而节点之间的关系表示了语法结构的层次和关联关系作用：通过构建AST，编译器和解析器可以对源代码进行分析和处理编译器可以在AST上进行语法检查、类型检查和优化等操作。
【JavaScript 逆向】AST 技术反混淆
Yy_Rose的博客
04-24 1万+
JavaScript 常见混淆技术类型，及如何使用 AST 技术反混淆，通过 javascript-obfuscator 库混淆 JavaScript 代码
爬虫 JavaScript 逆向进阶！利用 AST 技术还原混淆代码
静觅
05-08 3504
这是「进击的Coder」的第 617篇技术分享作者：K 小哥来源：K 哥爬虫“ 阅读本文大概需要 47分钟。 ”目录文章较长，可作为 AST Babel 入门手册，强烈建议收藏！什么是 ASTAST（Abstract Syntax Tree），中文抽象语法树，简称语法树（Syntax Tree），是源代码的抽象语法结构的树状表现形式，树上的每个节点都表示源代码中的一种...
AST 反混淆
TF的博客
04-16 482
*desc :const {const {} , // 替换完了就没用了，将其删除 VariableDeclarator(path) {const {if(!//只处理字面量 const binding = path . scope . getBinding(id . name);if(!//如果该变量的值被修改则不能处理 return;const {if(!if(!if(!let {
AST反混淆js还原工具.zip
09-23
基于丁仔大佬js还原工具进行的二次开发，增加功能多达10+，对丁仔大佬已开发的功能进行优化及修改，兼容更多可能，提升兼容性。目前可处理2021-9-23当前最新的https://obfuscator.io/中的混淆规则，是js逆向与爬虫...
JsControlFlowOb:基于Babel框架实现的 javascript 自定义控制流混淆插件
05-12
基于Babel框架实现的 javascript 自定义控制流混淆插件 测试ui 调用例子 node ./bin/run.js 功能 控制流混淆 参数名混淆 自定义检测点 自定义返回控制流形式【if,switch】 多个函数合并成一个控制流 更新记录 ...
Template-Babel:一个简单的Babel入门模板（包括角度）
04-27
设置该模板以使用ES2015（ES6）并将Babel用作转译器。 您将所有代码编写在main.js文件中，然后将其编译/转换为一个app.js文件，该文件将由index.html文件读取。 此版本需要使用。 最后 还有更多的任务，您确实应该...
AST反混淆之路——babel基本知识及常用转换操作
qq_41392887的博客
08-26 4696
本文章是学习AST反混淆的笔记，包括AST介绍、babel介绍（重点！！！）、以及部分AST反混淆实验代码 参照Babel插件开发助手（官方）：https://blog.csdn.net/weixin_33826609/article/details/93164633#toc-visitors 介绍 AST AST，抽象语法树（abstract syntax code，AST）是源代码的抽象语法结构的树状表示，树上的每个节点都表示源代码中的一种结构，这所以说是抽象的，是因为抽象语法树并不会表示出真实
AST学习笔记 至少入个大门
arr的博客
07-23 1768
我的理解:AST相当于把js代码所有语法解析为抽象的树.用处大概就是逆向的时候把混淆的代码还原逻辑,方便看逻辑. 一. 直观地看AST AST在线解析 用这个网站输入JS源码就可以看到AST解析出来的语法树了 type节点类型 start,end节点起始.结尾位置 program源代码 comments注释 具体还是输入代码到网站上看对应的类型,这样比较快速学习 二.代码框架 来源:悦来客栈的老板的星球 //babel库及文件模块导入 const fs = require('fs'); //ba.
破解极验三代滑动验证，成功率百分之百（一）：AST 反混淆
qq_41679907的博客
09-29 2324
通过 AST 反混淆加密过的 JS 代码
逆向进阶，利用 AST 技术还原 JavaScript 混淆代码
Tips的博客
04-29 5200
什么是 AST AST（Abstract Syntax Tree），中文抽象语法树，简称语法树（Syntax Tree），是源代码的抽象语法结构的树状表现形式，树上的每个节点都表示源代码中的一种结构。语法树不是某一种编程语言独有的，JavaScript、Python、Java、Golang 等几乎所有编程语言都有语法树。 小时候我们得到一个玩具，总喜欢把玩具拆解成一个一个小零件，然后按照我们自己的想法，把零件重新组装起来，一个新玩具就诞生了。而 JavaScript 就像一台精妙运作的机器，通过 AST
【JavaScript 逆向】AST 反混淆
pyzzd的博客
05-11 1521
本期目标网站为：市面上有许多好用的解混淆的工具，如v神的插件、蔡老板的一键还原等，效果都非常不错。本文是对易盾加密代码的简单解混淆，主要是对 AST 进行一个初步的学习与了解。AST 解混淆需要使用到 babel 库，关于babel库的使用可以看官方文档。这里不介绍库的用法，只对解混淆思路做一个简单分析。本案例代码在最下方。
爬虫逆向-AST解混淆
06-11 2428
js代码是极不安全的,任何人都可以阅读,分析,复制,甚至篡改,于是各种混淆技术出现了 变量混淆 将带有含意的变量名、方法名、常量名随机变为无意义的类乱码字符串，降低代码可读性，如转成单个字符或十六进制字符串。 字符串混淆 将字符串阵列化集中放置、并可进行 MD5 或 Base64 加密存储，使代码中不出现明文字符串，这样可以避免使用全局搜索字符串的方式定位到入口点。 属性加密 针对 JavaScript 对象的属性进行加密转化，隐藏代码之间的调用关系。 控制流平坦化 打乱函数原有代码执行流程及函数调
基于AST的babel库实现js反混淆还原基础案例荟萃
热门推荐
小小明-代码实体的专栏
02-03 2万+
一个菜鸟的倔强，学习js反混淆的入门笔记
AST反混淆笔记
Qiled的博客
01-24 4428
AST反混淆笔记. 蔡老板,永远的神. 以下内容在蔡老板的星球里面都有了,大家可以去加加蔡老板的星球. 蔡老板的代码没我下面的这么水.我只是单纯的为了学习,没有过多的抄蔡老板的代码.想着自个一笔一笔的敲出来.所以有的代码很弱智 文章目录AST反混淆笔记.一.基础模板二. 字符串类_unicode代码还原.三.字符串类_字符串拼接四. 字符串类_[]! 还原 一.基础模板 const fs = require("fs"); // 读写文件 const { parse } = require("@babe
threejs webpack 3D地图 实战视频教程
12-06
Three.js是一个强大的JavaScript库，专用于在Web浏览器中创建3D图形，而Webpack则是一个现代的模块打包工具，用于管理和优化前端项目的资源。以下章节概述了教程的主要内容： 1. **课程介绍**：首先，视频介绍了...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值