AST反混淆实战|某国外混淆框架一小段混淆js还原分析

news2024/11/17 17:30:37

关注它，不迷路。

本文章中所有内容仅供学习交流，不可用于任何商业用途和非法用途，否则后果自负，如有侵权，请联系作者立即删除！

1. 需求

我相信做币圈爬虫的兄弟，或多或少的见过类似下面的混淆js:

大部分的变量名，主要以 "__p_" 开头，分析下来，其实是ob混淆上面再套了一层壳。

再去掉第一层壳以后，发现还套了一层，它的函数如下:

function __p_1295650017_calc(__p_0552970006, __p_6576181459) {
  switch (__p_3757655876) {
    case 12:
      return !__p_0552970006;
    case 26:
      return -__p_0552970006;
    case -29:
      return __p_0552970006 + __p_6576181459;
    case -6:
      return __p_0552970006 - __p_6576181459;
    case 57:
      return ~__p_0552970006;
    case 35:
      return __p_0552970006 / __p_6576181459;
    case 3:
      return __p_0552970006 * __p_6576181459;
    case 2:
      return typeof __p_0552970006;
    case 6:
      return void __p_0552970006;
  }
}

这个混淆函数很有意思，它有两个形参，函数里面有包含一个全局变量

__p_3757655876,而这个全局变量，又由下面的函数来控制:

function __p_2245858992(a) {
  a = __p_3757655876 + (__p_3757655876 = a, 0);
  return a;
}

而上面的混淆函数，它的函数调用有这样的:

__p_1295650017_calc(1940, __p_3757655876 = 26)

函数的结果很明显是 -26；

也有这样的:

__p_1295650017_calc(_0x10e09f(746), "e", __p_2245858992(-29))

函数的结果很明显是 _0x10e09f(746) + "e"；

还有一个，就是，对于不同版本的混淆文件，它的这个函数定义是变化着的，如:

function __p_0807818337_calc(__p_9916442306, __p_4970943498) {
  switch (__p_3679524284) {
    case 13:
      return !__p_9916442306;
    case 7:
      return -__p_9916442306;
    case 31:
      return __p_9916442306 + __p_4970943498;
    case 3:
      return __p_9916442306 - __p_4970943498;
    case 21:
      return ~__p_9916442306;
    case 50:
      return __p_9916442306 / __p_4970943498;
    case -47:
      return __p_9916442306 * __p_4970943498;
    case 18:
      return typeof __p_9916442306;
    case 55:
      return void __p_9916442306;
  }
}

2. 共同点

如果想要写出通用的插件，就得找出它的共同点。先来看看有哪些共同点:

函数名不一样，但都以 _calc 结尾
函数体结构是一样的，但是每个case 后面的值不一样。
case体是一样的，都是 return 语句。

很快写出代码:

const getCalcFunction = 
{
  FunctionDeclaration(path)
  {
    let {scope,node} = path;
    
    let {id,body,params} = node;
    
    let name = id.name;
    
    if (!name.endsWith('calc'))
    {
      return;
    }
    
  }
}

因为整个混淆js，只有它是以 "calc" 结尾的，因此，只需简单的判断一下就可以了。

接下来怎么写呢?

根据每个case 里的return语句来写?

3. 隐藏的彩蛋

观察每个case里的return语句，拿到在线解析网站上观察，只有两种类型:

BinaryExpression 和 UnaryExpression 类型，而它们有个共同点，都有 operator 这个子节点，即操作符。因此，我们可以使用一个 Object类型的变量来保存它.即通过每个 case的值和 operator 来注册一个键值对，保存起来。遍历的时候去取就可以了。

const getCalcFunction = 
{
  FunctionDeclaration(path)
  {
    let {scope,node} = path;
    
    let {id,body,params} = node;
    
    let name = id.name;
    
    if (!name.endsWith('calc'))
    {
      return;
    }
    let newMap = new Object();
    let cases = body.body[0].cases;
    
    for (let eachCase of cases)
    {
      let {test,consequent} = eachCase;
      
      let value = test.value || -test.argument.value;
      
      let operator = consequent[0].argument.operator;
      
      newMap[value] = operator;
    }


    console.log(newMap);
    
  }
}

打印结果: