AST还原技术专题:一键处理obfuscator混淆代码后的扫尾工作

你的名字 2022-11-10 14:55 435阅读 0赞

### 使用obfuscator工具生成混淆代码 ###

1.打开混淆工具的在线地址：

https://obfuscator.io/

2.代码混淆前如下，如图所示:

![44029d4fb7b618204ec2fad0ff2d3ff7.png][]

3.点击 Obfuscate 按钮，将示例代码进行混淆。

4.混淆后的代码保存，使用星球里的一键解混淆脚本进行还原。

5.还原后的代码大致如下，大家还原后的代码只是变量名不一样罢了:

function hi() {
      var _0x307455 = function () {
        {
          var _0x1e101d = true;
          return function (_0x1cd74e, _0x16dad5) {
            {
              var _0x1250e0 = _0x1e101d ? function () {
                {
                  if (_0x16dad5) {
                    {
                      var _0x44e987 = _0x16dad5["apply"](_0x1cd74e, arguments);
    
                      _0x16dad5 = null;
                      return _0x44e987;
                    }
                  }
                }
              } : function () {};
    
              _0x1e101d = false;
              return _0x1250e0;
            }
          };
        }
      }(),
          _0x304d95 = _0x307455(this, function () {
        {
          var _0x4a9a61 = function () {
            {
              var _0x527fd6 = _0x4a9a61["constructor"]("return /\" + this + \"/")()["constructor"]("^([^ ]+( +[^ ]+)+)+[^ ]}");
    
              return !_0x527fd6["test"](_0x304d95);
            }
          };
    
          return _0x4a9a61();
        }
      });
    
      _0x304d95();
    
      var _0x10ac23 = function () {
        {
          var _0x653565 = true;
          return function (_0x1bdd5d, _0x5040c3) {
            {
              var _0x100ba7 = _0x653565 ? function () {
                {
                  if (_0x5040c3) {
                    {
                      var _0x549fd3 = _0x5040c3["apply"](_0x1bdd5d, arguments);
    
                      _0x5040c3 = null;
                      return _0x549fd3;
                    }
                  }
                }
              } : function () {};
    
              _0x653565 = false;
              return _0x100ba7;
            }
          };
        }
      }();
    
      (function () {
        _0x10ac23(this, function () {
          {
            var _0x26fc8f = new RegExp("function *\$ *\$"),
                _0xf7d7bc = new RegExp("\\+\\+ *(?:[a-zA-Z_$][0-9a-zA-Z_$]*)", 'i'),
                _0x450156 = _0x4cd1ad("init");
    
            if (!_0x26fc8f["test"](_0x450156 + "chain") || !_0xf7d7bc["test"](_0x450156 + "input")) {
              _0x450156('0');
            } else {
              _0x4cd1ad();
            }
          }
        })();
      })();
    
      var _0x217c41 = function () {
        {
          var _0x40159b = true;
          return function (_0x5f416c, _0x233990) {
            {
              var _0x45c84c = _0x40159b ? function () {
                {
                  if (_0x233990) {
                    {
                      var _0x1c4feb = _0x233990["apply"](_0x5f416c, arguments);
    
                      _0x233990 = null;
                      return _0x1c4feb;
                    }
                  }
                }
              } : function () {};
    
              _0x40159b = false;
              return _0x45c84c;
            }
          };
        }
      }(),
          _0x2f6a3f = _0x217c41(this, function () {
        {
          var _0x394d50 = function () {
            {
              var _0x4146cf;
    
              try {
                _0x4146cf = Function("return (function() " + "{}.constructor(\"return this\")( )" + ');')();
              } catch (_0x1d99d4) {
                _0x4146cf = window;
              }
    
              return _0x4146cf;
            }
          },
              _0x4e041d = _0x394d50(),
              _0x1590e0 = _0x4e041d["console"] = _0x4e041d["console"] || {},
              _0x304c65 = ["log", "warn", "info", "error", "exception", "table", "trace"];
    
          for (var _0x4bae25 = 0; _0x4bae25 < _0x304c65["length"]; _0x4bae25++) {
            {
              var _0x2196a9 = _0x217c41["constructor"]["prototype"]["bind"](_0x217c41);
    
              var _0xed7fc7 = _0x304c65[_0x4bae25];
    
              var _0x10e1d7 = _0x1590e0[_0xed7fc7] || _0x2196a9;
    
              _0x2196a9["__proto__"] = _0x217c41["bind"](_0x217c41);
              _0x2196a9["toString"] = _0x10e1d7["toString"]["bind"](_0x10e1d7);
              _0x1590e0[_0xed7fc7] = _0x2196a9;
            }
          }
        }
      });
    
      _0x2f6a3f();
    
      console["log"]("Hello World!");
    }
    
    hi();
    
    function _0x4cd1ad(_0x497b07) {
      function _0x17e787(_0x487201) {
        if (typeof _0x487201 === "string") {
          return function (_0xc22f0d) {}["constructor"]("while (true) {}")["apply"]("counter");
        } else {
          if (('' + _0x487201 / _0x487201)["length"] !== 1 || _0x487201 % 20 === 0) {
            (function () {
              return true;
            })["constructor"]("debu" + "gger")["call"]("action");
          } else {
            (function () {
              return false;
            })["constructor"]("debu" + "gger")["apply"]("stateObject");
          }
        }
    
        _0x17e787(++_0x487201);
      }
    
      try {
        if (_0x497b07) return _0x17e787;else _0x17e787(0);
      } catch (_0x1c05f1) {}
    }
    
    setInterval(function () {
      _0x4cd1ad();
    }, 4000);

### 代码分析 ###

代码很长，但是不要慌，稍微有点耐心即可。下面来逐步分析：

1.  定义了一个 hi 函数，无实参，无返回值。
2.  调用了上面定义的 hi 函数。
3.  定义了一个 \_0x4cd1ad 函数，有实参，有返回值
4.  使用 setInterval 函数定时执行 上面定义的 \_0x4cd1ad 函数

从前往后开始分析，第一步，先来看看这个 hi 函数:

1.  无形式参数，无返回值
2.  函数里面又定义了一堆函数，如 \_0x307455、\_0x304d95...等
3.  有些是自执行函数，有些则是定义后马上就调用了，只调用了一次
4.  console\["log"\]("Hello World!"); 这是函数的最后一行代码

在星球里曾多次强调，一个函数，主要关注它

1.  有没有改变实参
2.  有没有改变全局变量
3.  有没有返回值

经过仔细分析后可以发现， \_0x307455、\_0x304d95...这样的函数啥也没改变，**纯粹是增加代码复杂度和阻碍调试或者禁用console的一些功能，那和功能代码没半毛钱关系，因此，可以统统删除**。hi 函数化简后就只剩这样了:

function hi() {
      console["log"]("Hello World!");
    }
    
    hi();

这样看着就清爽多了哇。

同理，\_0x4cd1ad 函数是一个 debugger相关的函数，也是阻碍调试的，与加密无关，也可以进行删，后面的定时执行 一并删除。

到此，整个混淆代码处理后，真正有效的代码就只有这样了: