AST入门必看|定位混淆代码特征，编写过滤特征AST插件的方法

关注它，不迷路。       

本文章中所有内容仅供学习交流，不可用于任何商业用途和非法用途，否则后果自负，如有侵权，请联系作者立即删除！

1. 混淆代码

本文以最新版 ob混淆 来讲解如何找代码特征，如何根据特征写AST代码。

样例代码如下:

function _0x4388() {
    var _0x58a249 = ['W6m3W43cJ8oj', 'W4GDWOddJcm', 'oMfnWOTJ', 'heDqlmob', 'DIZcOGldMa', 'WR3cVI7dRuW', 'aSkmW6xcGCoP', 'ug9YWO1x', 'rCogW5ZdVX0', 'W7mYW6pcUuq', 'y1FdLmkyEq', 'W5nhW5/dHSo6', 'W70SkSoruq', 'W503o3yr', 'WRZdN8kQFNi', 'W4aeWQddIae', 'Ar7cJmo+BG', 'sxtdRSk0yG', 'WOSVjSktWPe', 'W59AWQhdQ8o1', 'W5CdWRhdKXW', 'zeNdOmkvEa', 'du1kkSoh', 'W7KrW6pcRW', 'bmkpuY95', 'W69nW5FdV8oE', 'W4pdGHJcTgW', 'W5ayWQ3dMa', 'WQKNnCkSEa', 'W5ddTKz/Eq', 'WRK5wCouWPq', 'srJcNW/dLG', 'WRG4BSo6', 'W7jbW6VdGG', 'xtZdISk3cq', 'W5ldL8oXmmk5', 'WOWsWQ1QW7K', 'WR8cp8kcrG', 'W7m/WOtdSqK', 'W7K4W7xdPwq', 'iJ/cPLbKdaBcQxq', 'v2KUWP/cVW', 'W75rWQ3cShq', 'fSkyWRlcUKtdMCkuWO5zWP1zWRe', 'orbap3y', 'p0nOkCoE', 'x8khWP4', 'xtVdVCkojq', 'vSoFW4RdPra', 'wCoYnIDv', 'cfaJ', 'W7NdGhDDFq', 'oc1BWQy', 'rbpcIG/dLW', 'BqNcPZxdQG', 'WP/dGCkgxKK', 'WOxdNCkTCW', 'eSo5j2bi', 'aIBdMSoBW6S', 'W6LlW5/dL8oC', 'W50xl3iE', 'WQJcRZZdRva', 'WQ8+cmk9WPS', 'WR4Ng8kHWP0', 'W7XWkSkTWRe', 's1xdHSk5uG', 'WPC2lCkEWQC', 'WQtcUXZdT0q', 'WQqJfSkLxG', 'WQxdHmklB8kz', 'ze1uWQrG', 'W4CVpSolzq', 'WOa0WR/cLhm', 'WPpcV2lcH8o4', 'BNrqWPnv', 'W6mrW4/cPvW', 's0BdG2Hm', 'WPRdJvpcO3y', 'EfXBW7OC', 'WR06p8kcwa', 'ov1lW7W4', 'tHxcJa', 'z8oXE8oNda', 'vCohWQhdUH0', 'vmoDW6ddUHa', 'B8okW4JdPIm', 'W6FdRvLWAG', 'WRxdSCk9B2S', 'WO7dUv3dVG', 'd8o0WOpdLLe', 'W6uPaCo7sW', 'ESoQW6jepmo9W4blW7qaW5G', 'BSoWsCoK', 'fSkYW7hcHW', 'WPKApCkZuq', 'W44dbmo3wG', 'W7e+cmoG', 'zJVdHCkrgq', 'AYtcHCoGzG', 'D1bvWQn7', 'emkQW6/cPCoH', 'WQiBfSkVCa', 'W5iIgfGR', 'fSobWO0ZW6i', 'FCoSW7ZdRIe', 'W4pdM8oRhq', 'bmoEWOS', 'rCo3qCo0aG', 'W6DoW7/dS8on', 'W5yfdhmM', 'WP7cStNdGNG', 'rGOmD8ky', 'W6nsW5VdLmox', 'W7qMW5dcI8ka', 'WPlcHfBcLSoU', 'C01PWQnM', 'WRdcUrBdR1G', 'sSoXacPv', 'WQOJB8oQWQm', 'b8k/WQWFrq', 'z8oSdq1V', 'W5hdRuxcU0u', 'W4ZdKgxcO3e', 'W7CwgSocrW', 'eSkUW7hcGmoh', 'BmkxrZetWO/cSSkhWOZdMrldQG', 'o8kNzCoPj8k4lwe', 'WOGKh8kmvG', 'WRLcW4ifW4i', 'WQJdQmk1uSk3', 'nL3cHmkUWRO', 'q8o9W5VdNte', 'fx7cSSkLWQm', 'Exj4W4u', 'affqk8og', 'ymkNsYakrCoJESkfDmkaW6i', 'W5a4eLOm', 'W5GyW7/dO2e', 'W5q8W4xcSKu', 'WPysqSoTWO4', 'AvioW7jD', 'CGpcImoysW', 'fvexCCoN', 'bqddHmoYW4a', 'W5G7W7FcUmoI', 'WQGcgCkyqa', 'W4jmW4ldOCoL', 'W4ddQrhcJ8oD', 'oCkXWPizAG', 'dmkxWQKlzG', 'vgz4WOHi', 'C8o/W47dJdm', 'caz0gea', 'W6ddPvtcG2e', 'W60OW5FdOG', 'cNKVB8o5', 'W7VdPgf0sW', 'WQVdR8krCmkU', 'vtJcIbhdGW', 'W5D0W7xdGmoG', 'W4ddHmoPn8ke', 'o8kbW5ZcGCo+', 'W5DPWPNdNSo4', 'mCk5x2ne', 'bgpcQmkVWOu', 'W6GUW6FdOtu', 'sCotW6ldMta', 'rY3dV8k1mW', 'W4xdR0fYDW', 'sSkpnmkRBG', 'W7OalNah', 'WPfNW74iW5G', 'qSoueXPV', 'WPmTWRBcIf4', 'nCo+p0jZ', 'tJRcGtZdQa', 'W5NdLbVcVSoe', 'WOG9aCk7FG', 'imo1dgW', 'CfWgWQVcHG', 'aIZdSmoMW50', 'W71qWRhdTSou', 'W4GhWQBdPaa', 'Fmo3W7/dVqa', 'cCobWPZdMuO', 'ESoMhrfp', 'mJ8vW6nM', 'gCoFWR/dQ2O', 'r0VdV8ksFW', 'WRZcSHNdR0u', 'W7vbWQhdVCor', 'lY3dPSoWW48', 'WO80jSkj', 'WPxcQg/cKCo8', 'WQRcScldSKy', 'dZddN8ozW70', 'FCo6qmozka', 'W5SIW4FcO8oW', 'WPGecSkXWQS', 'lKfTW7OB', 'kcLwWRGT', 'W57dNqFcSG', 'ralcVYhdGW', 'BSovhX5N', 'WPmekmksra', 'DdNcVqxdTW', 'geCOtCo3', 'WPJcKttdJ20', 'y3jPWO5B', 'fSkAWRqJuW', 'WQmKbCk+Eq', 'WRrXW6u4W5y', 'A8oLw8o9ga', 'dmksWQmuva', 'uwLYWPO', 'urRcO8o7tG', 'sapdGmkjpq', 'shbmW6y0', 'WPKiWOrXW6y', 'C2FdUhS', 'WQe1dmkDWPy', 'fMhcJCkeWOy', 'BmktqNDmW5BcKmk4WPi', 'W5BdISoQpmkh', 'vKOuWR/cUa', 'fSomneLh', 'gYzafKa', 'tMfDW4q1', 'EmoGsmoLdG', 'xCoBW4ZdItK', 'WP5tW6qEW7y', 'FSoSWPqjqSo0W41G', 'WO8lWRnI', 'gbP5ca', 'W6nrW6NdLCo3', 'yNn+WP9f', 'BahcOcNdLG', 'WPmcoSkAFa', 'W5O8pCofsa', 'g8k5W5RcSCof', 'fCoCnwja', 'EgJdS29R', 'fgT2f8oR', 'W5ddSsBcUCoI', 'WPpdVSk8w1G', 'BgyQWQRcNq', 'W5pdPMZcOg0', 'vKyEx8orWRZdOa', 'xMrmWOHo', 'W4NdIx3cVgy', 'DSkEdmkIDa', 'ySoiW4RdMWe', 'W4yEWPZdOW', 'W57dV0ju', 'h8ofWO/dQ3C', 'f1DPW5CK', 'cgGUqCou', 'jsXNhKa', 'W5HBW6W/WRBcIIbZdaFdOSkYW4y', 'eCkfWPdcR2q', 'W6GNWQFdUqq', 're3dKeXy', 'W5m/cLOg', 'y8kekCk4qW', 'W5xdPKtcVNe', 'W4G4WPhdSJy', 'ESoKatzN', 'WPldS8kktMy', 'qH/cSmoJwa', 'qmoNz8ocmG', 'WQ/cJ3ZcHSoJ', 'WRGigmk/wG', 'tIxdKCk4gq', 'F1/dT8kBuG', 'Amo7lrjN', 'WOeYe8kJWPm', 'nCoGd3ra', 'fCkjW6xcGCo2', 'pCo+ga', 'WP4GhCkxwa', 'WP3cVa3dM0W', 'W4yHWPRdNYq', 'W5/dNgb7wa', 'rHRcOCohqW', 'l8opgMLa', 'W4JdVCoXdmku', 'yNRdT2TN', 'yvNdV2DS', 'WOWzEmopWQm', 'vCoCW6ldUHO', 'WOVdICkav8kR', 'W4yuWRddIa', 'aCocmg1g', 'WP8mW71YW6G', 'qSkFpCkDAa', 'BNHLW4iq', 'h8oQnfDw', 'W5ZdSYtcO8oC', 'W5uYnf0R', 'WRldNCk/vmko', 'g8ogWPBdIxy', 'W7zWWOFdVSoI', 'W6C/gSotwa', 'W7ZdJgn9xW', 'W6C/W4hdL0S', 'WPibWRlcQeK', 'vCkTkCk9Ca', 'ovPXkCoW', 'W685W4VdONy', 'jdFcPYy0v0BcR2tdULlcVmkC', 'dCk8W6NcK8oA', 'WQ1mW5tcQhZcHv3cTa', 'dLlcOSkuWQC', 't8oBgJHI', 'dYVdOmoeW64', 'W7pcMCoGhmo3BCkfWPFdUrddUq', 'AtddPCkUgG', 'pSoEWPVdJLW', 'WOpcMWddI0W', 'zwnQWQ1o', 'xLzHW6ug', 'WOFcK0dcVmo1', 'W6JdU8oHdSkW', 'WOretfa5W51ZzCkJ', 'iCkTWQ4dCq', 'WOqPjmkpEa', 'WOJcMCkSuSo+', 'W5/dSHhcPCob', 'WQilyCoCWRK', 'lSoDchfG', 'W5BcLX/dTW', 's3uMWPRcKa', 'W4yzWOldJtG', 'W79DoCk1WRa', 'B1TfW4yB', 'i8kXWR0', 'oenNdCoy', 'WRRcNSkUfG', 'W6eiW7NcHwS', 'DhXjW6ai', 'dhpcNSkLWRO', 'WOCnW7pdGfO', 'dHzKga', 'WOG4kmkvWP0', 'W4JdSGpcLCok', 'WPDQW706W4i', 'W6foW57dMSoA', 'v0TpWQzt', 'W4ldPmockmkv', 'WP8Ws8olWRG', 'W4pdTSoQmmkE', 'W5xdHu7cUgq', 'WRRdT8kRyu0', 'tSo7B8ozkG', 'W7qpkKST', 'qCo5pb1I', 'WRCtWQRcJSknz8kFWR3cKSoOu8o5WOO', 'yCkeWRqpW7K', 'WO8ArSovWRO', 'gmoZm1T4', 'W5eslmobEq', 'WOxdL8kbwa', 'WOiEp8k1Fa', 'rxzMWQHn', 'W4VdImoeeSkc', 'qCo3z8ojbW', 'W6uDgmoAAW', 'W4PSESotW4/dJ8o3gmkhWO1VDq', 'bqpdPCoXW4e', 'fComgeru', 'WOuGhSk8xq', 'o0DxW6eZ', 'amk0W4dcVa', 'n8oIWPtdTKS', 'r3rUWRbY', 'FetdK8kprW', 'W6q3W57cI8ol', 'gZRdTCo+W4u', 'FMf8WQfz', 'W4tdNthcLSoN', 'eWRdL8oFW74', 'cwVcQmkEWRW', 'WQfMW6BcMSoDhCkNdq', 'bKrhgSoh', 'idezWQKH', 'BWVcHqRdOW', 'p8oAe1n/', 'orzMkgq', 'WRRcQZ7dQeC', 'xXuwyCkkW74IW6icD8k0WQRdMW', 'W4PWW7ldTmoG', 's0VdN3f2', 'WR/dHmk0xCkM', 'W47dHxPYBW', 'WPddJSkXbCoK', 'y099WPL7', 'W4VdTKjDyG', 'm0fqWQ5d', 'W7P5DmoSWRK', 'W4HufmkQWO0', 'W4j1W6ldG8ot', 'xsddVmkpEq', 'W7b2WRZdTSoJ', 'k3VcJSkQWOu', 'p0jzW6Gf', 'WR0jWPzcW4C', 'lmk2WOm7xa', 'WP7dNCk1tvq', 'W6GmWRhcLG', 'bZqTWOXkD29EkW', 'W5JdO0zeAq', 'FqBcVSk7ra', 'Ch7dPNn7', 'WP8xWR5YW68', 'WOdcLIJdTK4', 'W5OtW7pcR8og', 'W57dIYtcO8oc', 'WR8iyCo7WRy', 'W53dRHxcNCou', 'W6qIW5pcKmoC', 'wdRdSmkrfa', 'WRmIiSk3W6q', 'WQeWWQ5nW7y', 'W4PYmCk5hW', 'W60MW5xdVwa', 'fSkCW5FcOCoh', 'c0TBW4GE', 'oufqW70D', 'yhfnW748', 'xZpdVCkwkW', 'csnvWOiw', 'CmoXlqze', 'W5P4kCkTWPK', 'W4/dL1/cU2y', 'W6ldMSotnmke', 'WOapWOJcK2a', 'wmkeW5tcQIbdCSosw8kzFa', 'uYlcNbFdTW', 'WP7dTSkxs1u', 'W6xdJcFcMmoa', 'jmoZk3rp', 'ELxcTmo0gq', 'WQH5W7OlW6y', 'WRldU8kbvL4', 'eZZdL8oCW6S', 'cMpcP8ofySoyW7ZcLbZcSKpdVW', 'ocbEWOKw', 'W7vyWQxcRxW', 'WPe7cmkZxG', 'W7yXW4VcKmoh', 'W78yW5hcI8oL', 'WRFdKCkqDwS', 'gvrOW5OB', 'WOZdNCkEvmko', 'W7ldLYFcS8ot', 'WPBdISoFi8ktW6ddLW', 'W6yInxS+', 'BCo/eHvf', 'rWRcOSo6', 'WR4OWPPnW5m', 'rCopAmoZla', 'WOe+omkmWPC', 'W6SuWOddLa0', 'uhrZWOWl', 'FMKEWPG', 'dwCQBSoJ', 'W4ddKCoXemk4', 'AmoEtmoWfa', 'W6WnW5tdH0y', 'W7yIW4/cLCor', 'BKeWWPVcMG', 'B8k1lSkBAa', 'zSoRW4VdIJy', 'WP8yWPX3W4e', 'W701WRVdLHq', 'pCkNWOS9Fa', 'd10WBmo6', 'emk9mCkBAW', 'AK1aWPzD', 'W5zGamkiWO4', 'WP/cRXVdRwW', 'n8o1WQxdSwW', 'f8k0W6RcJCoh', 'BNHLW4il', 'WRWLkmknWOG', 'W6/dQ3v1Aq', 'x2/dNSk/DW', 'W74XW4BcRwS', 'W7GdWOZdHai', 'ruBdShfh', 'ot/dGCo+W4S', 'EmkHg8kgqa', 'WQiQkSkfWPu', 'WPSeWOPPW68', 'WOO+wmo9WR0', 'WReSqCkSAW', 'dw9jfCov', 'DSkMv8kJhq', 'kSoKehjF', 'WQFdNmkIsCk4', 'C2iB', 'kd3dPSoGW4O', 'W4mIW6/cN2S', 'W55sW63dOmo7', 'r3j9WP1g', 'Csj3WOad', 'W5ibW5FcJhW', 'W48BW4ZcKwW', 'W6pdT3pcU3i', 'EM9KW7qV', 'WPqYdSkgWPy', 'WOqUWQVcPNq', 'qCkiWOSV', 'WRSBACoZWRS', 'ld15WQeL', 'AbpcUYNdIq', 'W692WRpdO8o0', 'nCo8kL59', 'mYzUnx8', 'WQWlWPxcP2q', 'W7/dHYlcTCoJ', 'qCoUWQ3dMSkfW7ZcHCk0pgDY', 'WOdcVgpcPSoh', 'WOrEWROrW6a', 'xYtdO8krka', 'WRrXkmo4WRK', 'rgf/W78q', 'yZhcGIhdRq', 'ocnzWRK6', 'WQxcUhJcO8oP', 'W4ddGSo1fCkU', 'z0NdHCkPqW', 'WRtdLSktvmka', 'uJVdTa', 'CNHOWP1x', 'FmkMWPdcNa', 'W5eMjfGY', 'dSoeWORdL34', 'W54ElmoOtW', 'tchdSmkjpG', 'fmkBWPW1W6i', 'WRNdL8kEqfm', 'FmkoWRe3W7S', 'st/cJbhdJW', 'gYZdNSoQW60', 'imo/lgXl', 'bmoEWOxdQW', 'WOKraCkbWPO', 'W6uyWQZdPIa', 'DuWAWQn8', 'W69DfSksWQK', 'WPznW7iD', 'vmozW63dPWe', 'W748W4/cJmoC', 'W7yCW53cVwq', 'm8o3gMO', 'zaVcMdZdQa', 'fHz5c1S', 'oqHyWOmh', 'sdBcKCo4ta', 'WPe7WO7cHq', 'W7f+W6RdPmo7', 'vgD5WOW', 'W78wnxCj', 'qCoBdrjv', 'W4pdQfu', 'W5xdV8ojd8ky', 'WOinW7FdGf8', 'e8kttt47', 'umoaW63dLYm', 'WRWBjCk0qW', 'WRKyd8kcwW', 'WONdTSkrr8km', 'W6JdIgzABW', 'WRP5WO/cUJNdQbTmWQddTSkVcW', 'mCojfa'];
    _0x4388 = function() {
        return _0x58a249;
    }
    ;
    return _0x4388();
}

将代码拿到 在线解析 网站进行解析，可以找出了它的一些特征: