猿人学第二题,手撕OB混淆给你看(step5-分支流程判断)

前情回顾:

手撕OB混淆(Step1-开篇)

手撕OB混淆(step2-字符串数字回填)

手撕OB混淆(step3-函数调用还原)

手撕OB混淆(step4-对象调用还原)

分支流程判断

这一章会使用上一章生成的 02_ob_obj_property_reload.json文件

最终生成一份02_ob_if_reload.js文件和一份 02_ob_if_reload.json 文件

上一章我们已经把

if (_0x5500bb['qsLgw'](_0x5500bb['RmLGP'], _0x5500bb['RmLGP']))

还原成了

if ('QcUHF' !== 'QcUHF')

结构分析

我们继续观察02_ob_obj_property_reload.js文件可以发现,里面有很多 if 分支语句

它们的条件bool值已经可以确定,那么其中一条分支就已经是多余的,

接下来我们分析一下结构信息

节点类型是 IfStatement (分支语句节点),其属性 consequent 和 alternate 分别代表了Ture 和 Flase 的分支,

我们只要递归找到这样的节点,判断其条件的bool值,只保留其相应的分支即可

代码

""" 分支流程判断 """
operator_dict = {'===': '==', '!==': '!='}


def if_reload(node):
    if type(node) == list:
        for item in node:
            if_reload(item)
        return
    elif type(node) != dict:
        return

    # 捕获一个分支语句节点
    if node['type'] == 'IfStatement':
        if node['test']['type'] == 'BinaryExpression':
            # 判断分支条件是否可执行
            if node['test']['left']['type'] == 'Literal' and node['test']['right']['type'] == 'Literal':
                # 获取分支节点
                consequent = node['consequent']
                alternate = node['alternate']
                try:
                    if eval(f"'{node['test']['left']['value']}' {operator_dict[node['test']['operator']]} '{node['test']['right']['value']}'"):
                        node.clear()
                        node.update(consequent)
                    else:
                        node.clear()
                        node.update(alternate)
                except KeyError:
                    print(f'意料之外的分支运算符号: {node}')
                    sys.exit()
                else:
                    if_reload(node)

    for key in node.keys():
        if_reload(node[key])


""" ********************************************************* """
if __name__ == '__main__':
    # 生成基础文件
    ...
    """ 字符串与数字回填[ok] """
    ...
    """ 函数调用还原[ok] """
    ...
    """ 对象调用还原[ok] """
    ...
    """ 分支流程判断[ok] """
    with open('02_ob_obj_property_reload.json', 'r', encoding='utf8') as f:
        data = json.loads(f.read())
    if_reload(data)

    with open('02_ob_if_reload.json', 'w', encoding='utf8') as f:
        f.write(json.dumps(data))
    os.system('node JsonToJs 02_ob_if_reload.json 02_ob_if_reload.js')

代码运行后可以看到,if 语句已经被剔除,只留下了需要被执行的分支

这一章,我们把

function () {
    if ('QcUHF' !== 'QcUHF') {
        return ![];
    } else {
        _0x4643a3 = !![];
        return ...
    }
}

还原成了

function () {
    {
        _0x4643a3 = !![];
        return ...
    }
}