特殊混淆案例的还原

最新推荐文章于 2024-09-07 23:53:16 发布

qq_39217312

最新推荐文章于 2024-09-07 23:53:16 发布

阅读量1k

点赞数 22

文章标签： python

本文链接：https://blog.csdn.net/qq_39217312/article/details/141107256

版权

处理基于 javascipt-obfuscator 的混淆，还有其他混淆方式，例如： AAEncode JJEncode JSFuck

AAEncode 的还原

AAEncode 是一种 JS 代码混淆算法，利用它，我们可以将 JS 代码转换成颜文字表示 JS 代码

这里有一个示例网站 https://utf-8.jp/public/aaencode.html

可以看到一个简单的 "Hello, JavaScript" 被转换成了很长的颜文字，代码被混淆的面目全非

但实际上，混淆后的代码其实还是遵循了 JS 语法的，只不过其中的一些变量被替换成了表情符的样子。

这里我们看一个示例网站：https://spa11.scrape.center/ 这是一个 NBA 球星网站，展示了球星的一些数据，但与此同时，每个球星的信息面板上都对应了一串字符，我们把鼠标移动到面板上就可以看到

实际上这些字符包含了一些规律，其结果其实和这些球星的数据有关

可以看到， Index 页面引入了一些标准库，正常情况下应该不会出现在这里面。最后，我们发现页面还引入了一个 JS 文件 main.js ，下面我们看看 main.js 里面都有什么

一整行的颜文字

当我们尝试格式化的时候，发现无法格式化

这其实就是 AAEncode 混淆，那么怎么才能看懂这些代码

我们可以先观察一下这些代码的规律。从代码的前后两端入手，可以看到开头基本上都是

ﾟωﾟﾉ= /｀ｍ´）ﾉ ~┻━┻ ，结尾基本上都是 (ﾟДﾟ)[ﾟoﾟ]) (ﾟΘﾟ)) ('_') 因为这段 JS 代码是可以运行的，那么它一定符合 JS 语法的。但最后是以括号结尾的，按照 JS 的语法，可以判定前面的整体是一个方法的声明，就比如类似这样的代码

(function(a) {console.log('hello', a)})('world')

前面是一个方法的声明，然后整个大括号括起来，最后再传入一个参数调用，运行结果如下

hello world

其实 AAEncode 的原理也是将前面的内容装换位一个方法的声明，最后传入一个参数来调用执行，只不过最后的参数是一个下划线而已

对于上面的例子，假如我们不知道 (function(a) {console.log('hello', a)}) 这个方法声明究竟是怎么写的，我们可以将其输出在控制台上，看下运行效果

可以看到这个方法的声明就被打印出来了

对于 AAEncode 来说，我们可以试着将最后的（‘_’）去掉，将前面的代码输出到控制台上

可以看到这个方法被解析除了“真正面目” ，当然这里还是不好观察，我们可以进一步将方法转换为字符串，在后面加一个 toString 方法的调用

这时我们发现这个方法的声明被转化为了字符串，内容一目了然

将代码整理后格式化一下，就能得到如下结果

function anonymous() {

        const players=[

                {

                name:'凯文-杜兰特',

                image:'durant.png',

                birthday:'1988-09-29',

                height:'208cm',

                weight:'108.9KG'

                },

.....

new Vue({

        el:'#app',

        data:function( {

                return{players,key:'nCQ7ywzJVEqGTTxncPFJzXv8juDWwPMrZAr'}

        },

        methods:{

                getToken(player){

                let key=CryptoJS.enc.Utf8.parse(this.key);

                const{name,birthday,height,weight}=player;

                let base64Name=CryptoJS.enc.Base64.stringify(

                        CryptoJS.enc.Utf8.parse(name)

                );

                let encrypted=CryptoJS.DES.encrypt(

                        `${base64Name}${birthday}${height}${weight}`,

                        key,

                        {mode:CryptoJS.mode.ECB,padding:CryptoJS.pad.Pkcs7}

                  );

                return encrypted.toString()

          }

        }

     })

}