第一步 处理CallExpression
下图是某个被obfuscator工具混淆了的代码部分截图:
这里有很多的 CallExpression,诸如:
_0x552e53('3$kU', 0x1ab, 0x153, 0x261)
_0x3be775('vrJS', 0x2cb, 0x307, 0x228)
_0x3be775('mbUX', 0x432, 0x36d, 0x379)
.......
它们有一个共同的特点,就是实参全部是 字面量,对于实参已知的函数来说,其结果大部分都是固定的,因此只需要将其值计算出来,并替换掉这些CallExpression,会使代码清晰一点。
下图是我还原后的部分代码截图:
相比第一个图,明显要好看很多。
第二步 处理ObjectExpression
从上面的截图可以看出,这里的 _0x499a89 是一个object,它里面的key、value都很有规律,key的