jsvmp逆向实战X-Bogus篇，算法还原
- 前言
- X-Bogus算法逻辑
- 寻找log插桩位置
- 第四步
- 第三步
前言
看过很多大佬关于X-Bogus算法还原的文章，都是通过log插桩，分析日志信息再结合动态调试一步步抽丝剥茧，最终还原算法，但是不同的插桩点带来的工作量是完全不同的。
经过我的不断摸索，找到了一个更加简单高效的逆向方法。jsvmp的特性除了压缩、混淆、大循环之外，还有一个重要的特征，就是通过apply的方式调用方法，那么我们只需要在大循环的代码里面找到apply并打上日志断点，就可以直接在日志里面分析算法逻辑了，而不是依赖大量的动态调试。
X-Bogus算法逻辑
X-Bogus算法的生成过程我把它分为以下四个大步骤，我们实际分析是反正来，从第四步开始逐步分析到第一步。
| 步骤 | 操作 |
|---|---|
| 一 | 生成canvas，params、data、user-agent转为数组 |
| 二 | 将第一步生成的canvas和三个数组通过一些位移、&运算并加入时间戳合并成一个数组 |
| 三 | 将第二步生成的数组转为乱码，乱码再经过多次处理，生成最终的乱码 |
| 四 | 将乱码经过一系列运算生成X-Bogus |
寻找log插桩位置
打开某音网址，随便找个视频点个赞，然后查看点赞请求的调用堆栈。
点击图中标红位置，直接就会调到第一个apply，前后观察以下，发现这个apply就是在一个大循环中，先在这个apply打上日志断点，这个地方打断点需要注意一下。
断点内容："function:",_0xc26b5e,"args:",_0x1f1790,"result:",_0x2458f0['apply'](_0xc26b5e, _0x1f1790),"_0x2458f0:",_0x2458f0
搜索一下看看大循环里面还有没有别的apply，这里是还有一个的，找到它，并打上断点。
断点内容："function:",_0xc26b5e,"args:",_0x1f1790,"result:", _0x2458f0['apply'](_0xc26b5e, _0x1f1790),"_0x2458f0:",_0x2458f0
接下来就可以清空控制台，取消点赞，然后就可以在控制台分析日志了。
第四步
找到日志中第一次出现X-Bogus的位置，下图第一个红框这里调用了一个方法，参数是乱码字符串，生成了X-Bogus，下面的日志是具体的生成过程。
日志简单明了，function里面的乱码调用了charCodeAt方法，传入args生成了result，我们可以在控制台验证一下，如下图所示，传入参数和结果都能对上。
接着往下看，function的字符串、args参数、调用方法都变了，生成的结果也是最终X-Bogus的单个字符，"Dkdpgh4ZKsQB80/Mfvw36XI1R25-WUAlEi7NLboqYTOPuzmFjJnryx9HVGcaStCe=".charAt()控制台验证一下，都能对上，唯一不知道的就是0、47、60、45这几个参数哪来的，猜测肯定跟上一步生成的2、255、45有关，中间进行了哪些操作日志中并没有，这里就需要动态调试一下了，动态调试的过程就不说了，太麻烦。
动态调试需要改一下log日志，把整个循环的方法抠出来，折叠一下代码，然后仔细观察一下就会发现，通过_0xf24f2b、_0x3eb330、_0x217611、_0x2458f0，_0xf24f2b就能控制走到哪个分支，我们在前面的日志里面加上这几个参数，这样就知道怎么打条件断点了。
直接给出第四步的代码，传入乱码字符串验证一下
function get_x_bogus(lm){
var pub_key = "Dkdpgh4ZKsQB80/Mfvw36XI1R25-WUAlEi7NLboqYTOPuzmFjJnryx9HVGcaStCe=";
var x_bogus="";
for (let i = 0; i < lm.length; i += 3) {
var a = lm.charCodeAt(i);
var b = lm.charCodeAt(i+1);
var c = lm.charCodeAt(i+2);
const baseNum = c | (b << 8) | (a << 16);
const str1 = pub_key[(baseNum & 0xfc0000) >>> 18];
const str2 = pub_key[(baseNum & 0x3f000) >>> 12];
const str3 = pub_key[(baseNum & 0xfc0) >>> 6];
const str4 = pub_key[(baseNum & 0x3f)];
x_bogus += `${str1}${str2}${str3}${str4}`;
}
return x_bogus
}
可以看到结果和控制台的一模一样。
第三步
第三步就是生成第四步用到的乱码字符串，往上翻日志，如图所示标红位置就是乱码的生成过程，参数，方法都有，这一步是最简单的，直接控制台验证。
可以看到，结果跟控制台是一样的，接下来就得分析这个数组是怎么来的。第二步的逻辑现在的日志完全看不到，需要打条件断点动态调试，这里就不细讲了，两个apply断点就能把第一步、第三步的逻辑还原处理，第四步也需要动态调试。我是先把能还原的先还原，然后再动态调试把整个加密逻辑串联起来。如果你根据文章提示操作到这里，基本上就有了继续下去的动力，不会一头雾水了。
