声明:该文章涉及的所有案例均为学习使用,严禁用于商业用途和非法用途,否则由此产生的一切后果均与作者无关!如有侵权,请私信联系本人删帖!
建议补环境处理。。。
1. 代码里的console被hook了,当然可以选择注释代码 也可以在头部复制一个。
2. ob混淆用AST还原一下代码变量名即可
我找几个比较有意思的位置说下。。。
3. ? new _ 在js中搜索这个代码,此位置是调加密的位置,打上日志就可以知道大致流程
4. 最后对url加密($QNlw3Q4GiufF)的时候会取代码里cookie的38189参数 依次进行charCodeAt。经过运算,最后是进行的toString(16)。我说下我得思路,发现这个参数没走上面那个加密的地方,我打印了堆栈好像也没看到,所以大概率是经过运算得到的,所以我们就看一下vmp,发现有个vmp有做位运算的。位运算大概是这些(&、|、^、~、>>、<<)。将一些运算改写下,记得return结果
通过打印的日志就可以知道经过了什么运算,然后进行js生成,具体的就不说了。
下面测试下代码