JS逆向|使用express框架开启服务并替换加密字符串

叁歲伎倆 2022-12-19 03:45 137阅读 0赞

在阅读本文之前请确保电脑已安装好Node.js.

express,根据其Github上的描述，是一个:

Fast, unopinionated, minimalist web framework for node.

其Github地址：

https://github.com/expressjs/express

根据其Readme文档，安装:

npm install express

保存演示code:

const express = require('express')
    const app = express()
    
    
    app.get('/', function (req, res) {
      res.send('Hello World')
    })
    
    
    app.listen(3000)

然后运行(控制台下输入node xxx.js),并打开浏览器，输入:

http://127.0.0.1:3000/

并回车，得到浏览器上的结果:

![format_png][]

当然，这仅仅是个简单的例子，还需要了解function (req, res)的用途，上面的代码稍微改一下:

app.get('/', function (req, res) {
      console.log(req.query);  //只增加这一行，看看打印结果
      res.send('Hello World')
    })

在浏览器上输入如下URL，并回车:

http://127.0.0.1:3000/?sign=123456

查看命令行下的结果:

![format_png 1][]

这样就清楚了，直接构造参数，然后用res.send返回结果。

继续沿用上一篇文章的代码，将 大数组 + 位移函数 + 解密函数的代码添加进来，并构造参数，如下:

const express = require('express')
    const app = express()
    
    
    var _0x2075 = ['wrw3EMKc', 'BBdBHWk=', 'wplgd8O5dHbDtFfDucK9CsOS', 'f8KvAcKewoDClg==', 'XcKowo9uOyfChw==', 'XcKowpRzOzDCgMKuw5vCtH8=', 'HmQkw5vDt8OIBDbCpMKdw6Aaw7HDmcKb', 'wpxzdMO4', 'R8KHF1k1w5A=', 'w4LDgcOowrjDhg==', 'w6RKw6PCmVDDpw==', 'w6DDgsKrCsK5wqAwKsOMTkPDilwgB241RVBIw6rCvwpWw5fCo8OSw59pBcK7UlrCucOZHy7DgsO5wpx5J8K5wqbCtMOMwqvCsiUFw5s4JGfDmwQPw7Fawq3CgXlkJyE=', 'VcObYsOHKcKpwpI=', 'KkZfcE52w77ChsKgUQ==', 'CmQsw57DvA==', 'YV7CscOYZg==', 'w5jDt8OUwr46w5c6LsKEPsO0', 'F8OUMQhRw78Q', 'YMKzeTvCpMKzHcKKGSjCj2dJwq3Cj3/ChsKSFVpMw4sZwrg9H8OLw4/DqUlhYlpaa8KYJsO5AcK2wqnCmGhEwqkbdMKKLsO/wpBFMcKlC8OvKUkXZ8KpBsOxw4XDk8K5w4Y6w7VZO8K/wojCqcO2wqQow5Z+w6dew7I3TMObw6Ykw7I=', 'Mk8Bw6QawqU=', 'wo5zw4vCkxvDuSBqwoENw7rCrF3DksKewoPDqMKHNSzCgcK2fcKxPMKbGcKwCW5GZWRpw6fDmgHCjXrCnXE3w4zDqlt3w64lw7JiworDi8Knw5YoW1LDlUbDpkEtGQPDnw==', 'w6lvdMKW', 'w7JFdsOhwrBqwrlMYcKVJRjCuMKQwpLDtMONwprCsMORw4BtRV0oeEQPCgAmMgx2'];
    (function(_0xf486e7, _0x2075d7) {
        var _0x5c3a18 = function(_0x5b65b1) {
            while (--_0x5b65b1) {
                _0xf486e7['push'](_0xf486e7['shift']());
            }
        };
        _0x5c3a18(++_0x2075d7);
    }(_0x2075, 0xa4));
    var _0x5c3a = function(_0xf486e7, _0x2075d7) {
        _0xf486e7 = _0xf486e7 - 0x0;
        var _0x5c3a18 = _0x2075[_0xf486e7];
        if (_0x5c3a['vEVEZj'] === undefined) {
            (function() {
                var _0x2e1ca4;
                try {
                    var _0x28e173 = Function('return\x20(function()\x20' + '{}.constructor(\x22return\x20this\x22)(\x20)' + ');');
                    _0x2e1ca4 = _0x28e173();
                } catch (_0x16acc9) {
                    _0x2e1ca4 = window;
                }
                var _0x16f958 = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=';
                _0x2e1ca4['atob'] || (_0x2e1ca4['atob'] = function(_0x5a7812) {
                    var _0x3c7e74 = String(_0x5a7812)['replace'](/=+$/, '');
                    var _0x5e030c = '';
                    for (var _0x4eaee2 = 0x0, _0x5954ef, _0x29200e, _0x5a128b = 0x0; _0x29200e = _0x3c7e74['charAt'](_0x5a128b++); ~_0x29200e && (_0x5954ef = _0x4eaee2 % 0x4 ? _0x5954ef * 0x40 + _0x29200e : _0x29200e,
                    _0x4eaee2++ % 0x4) ? _0x5e030c += String['fromCharCode'](0xff & _0x5954ef >> (-0x2 * _0x4eaee2 & 0x6)) : 0x0) {
                        _0x29200e = _0x16f958['indexOf'](_0x29200e);
                    }
                    return _0x5e030c;
                }
                );
            }());
            var _0x3acf89 = function(_0x593a19, _0xfee22e) {
                var _0x1b5349 = [], _0x4ddb21 = 0x0, _0x28ed27, _0x4b4996 = '', _0xbdd0c6 = '';
                _0x593a19 = atob(_0x593a19);
                for (var _0x1d6343 = 0x0, _0x3f947e = _0x593a19['length']; _0x1d6343 < _0x3f947e; _0x1d6343++) {
                    _0xbdd0c6 += '%' + ('00' + _0x593a19['charCodeAt'](_0x1d6343)['toString'](0x10))['slice'](-0x2);
                }
                _0x593a19 = decodeURIComponent(_0xbdd0c6);
                var _0x1a120c;
                for (_0x1a120c = 0x0; _0x1a120c < 0x100; _0x1a120c++) {
                    _0x1b5349[_0x1a120c] = _0x1a120c;
                }
                for (_0x1a120c = 0x0; _0x1a120c < 0x100; _0x1a120c++) {
                    _0x4ddb21 = (_0x4ddb21 + _0x1b5349[_0x1a120c] + _0xfee22e['charCodeAt'](_0x1a120c % _0xfee22e['length'])) % 0x100;
                    _0x28ed27 = _0x1b5349[_0x1a120c];
                    _0x1b5349[_0x1a120c] = _0x1b5349[_0x4ddb21];
                    _0x1b5349[_0x4ddb21] = _0x28ed27;
                }
                _0x1a120c = 0x0;
                _0x4ddb21 = 0x0;
                for (var _0x585b7f = 0x0; _0x585b7f < _0x593a19['length']; _0x585b7f++) {
                    _0x1a120c = (_0x1a120c + 0x1) % 0x100;
                    _0x4ddb21 = (_0x4ddb21 + _0x1b5349[_0x1a120c]) % 0x100;
                    _0x28ed27 = _0x1b5349[_0x1a120c];
                    _0x1b5349[_0x1a120c] = _0x1b5349[_0x4ddb21];
                    _0x1b5349[_0x4ddb21] = _0x28ed27;
                    _0x4b4996 += String['fromCharCode'](_0x593a19['charCodeAt'](_0x585b7f) ^ _0x1b5349[(_0x1b5349[_0x1a120c] + _0x1b5349[_0x4ddb21]) % 0x100]);
                }
                return _0x4b4996;
            };
            _0x5c3a['HKkhxp'] = _0x3acf89;
            _0x5c3a['eabUGz'] = {};
            _0x5c3a['vEVEZj'] = !![];
        }
        var _0x5b65b1 = _0x5c3a['eabUGz'][_0xf486e7];
        if (_0x5b65b1 === undefined) {
            if (_0x5c3a['vszZjY'] === undefined) {
                _0x5c3a['vszZjY'] = !![];
            }
            _0x5c3a18 = _0x5c3a['HKkhxp'](_0x5c3a18, _0x2075d7);
            _0x5c3a['eabUGz'][_0xf486e7] = _0x5c3a18;
        } else {
            _0x5c3a18 = _0x5b65b1;
        }
        return _0x5c3a18;
    };
    
    
    app.get('/', function (req, res) {
      //req.query = {callback:"_0x5c3a('0x8', 'CwZq')"}
      let callback = req.query.callback;
      let value = eval(callback); //直接eval计算传递进来的解密函数及参数
      console.log(callback,value);
      res.send(value)  //结果
    })
     
    app.listen(3000)

在node下运行后，在浏览器上进行简单的测试:

http://127.0.0.1:3000/?callback=_0x5c3a('0x8', 'CwZq')

回车后的结果:

![format_png 2][]

这样，我们就可以用requests库进行请求，代码如下:

reg = re.compile(r"_0x5c3a\([\s\S]{12,14}'\)")
    results = reg.findall(code) # code是所有混淆代码
    
    
    for result in results:
        params = {"callback":result} #构造参数
        r = requests.get("http://127.0.0.1:3000/",params = params) #请求
        print (result,r.text) #打印结果
        code = code.replace(result,"'" + r.text + "'") #全局替换

结果如下:

![format_png 3][]

和上一篇文章的结果一致，但效果明显要好很多，特别是在处理多个这样的调用时，其性能不是一个量级，因此在这里建议，卸载掉电脑上的pyexecjs在这个库吧，反正也没再更新了。

不过这里在使用get时，遇到了一个坑，就是当提交的参数里面包含特殊字符时(比如'&'),可能会解析错误，因此建议使用post方式，可自行百度相关教程。

[format_png]: /images/20221120/c41ae734902748be8e7316f53a8ebfb3.png
[format_png 1]: /images/20221120/6426a499deca419eb716c2331b367a26.png
[format_png 2]: /images/20221120/189a300ec18541f8a9e7c7550af80069.png
[format_png 3]: /images/20221120/743a04738fd0431b87adaac5266c5312.png

发表评论取消回复

表情：

评论列表（有 0 条评论，137人围观）

还没有评论，来说两句吧...

相关阅读

相关 js字符串全部替换

js中字符串全部替换可以用以下方法： str.replace(/需要替换的字符串/g，"新字符串") "1-2-3-4".replace(/-/g,"...

落日映苍穹つ/ 2024年04月17日 17:07/ 0 赞/ 87 阅读

相关 JS字符串替换（使用replace()方法）

replace() 方法的第二个参数可以使用函数，当匹配时会调用该函数，函数的返回值将作为替换文本使用，同时函数可以接收以`$`为前缀的特殊字符，用来引用匹配文本的相关信息。

向右看齐/ 2024年03月31日 12:40/ 0 赞/ 79 阅读

相关使用lodash替换js字符串中的变量

![在这里插入图片描述][e1bef24e6a114b7e915fefa8e187a095.png] // 使用 "interpolate" 分隔符创建编译模板

小鱼儿/ 2023年09月28日 18:04/ 0 赞/ 113 阅读

相关 JS逆向|使用express框架开启服务并替换加密字符串

在阅读本文之前请确保电脑已安装好Node.js. express,根据其Github上的描述，是一个: Fast, unopinionated, minima

叁歲伎倆/ 2022年12月19日 03:45/ 0 赞/ 138 阅读

相关 JS逆向|对某加密字符串的一次解密，有时候并不需要搜索引擎

声明：本文只作学习研究，禁止用于非法用途，否则后果自负，如有侵权，请告知删除，谢谢！这篇文章寻找加密的参数，咸鱼哥已经写过了，请看 [这里][Link 1]。只所以再写是因

待我称王封你为后i/ 2022年12月19日 03:44/ 0 赞/ 132 阅读

相关 JS逆向|使用pyexecjs库替换加密字符串

声明：本文只作学习研究，禁止用于非法用途，否则后果自负，如有侵权，请告知删除，谢谢！下面的代码是我在某网站随便找的一段base64的 javascript 源码:

超、凢脫俗/ 2022年12月19日 03:44/ 0 赞/ 253 阅读

相关字符串匹配并替换Java

//正则表达式Pattern 、Matches import java.util.regex.Matcher; import java.util.re

- 日理万妓/ 2022年09月30日 13:59/ 0 赞/ 140 阅读

相关 js字符串替换、全部替换

var s = "2016-11-11"; s.replace("- ", "");//201611-11 s.replace(/\-/g, "")//

淩亂°似流年/ 2022年07月15日 04:21/ 0 赞/ 327 阅读

相关 js字符串替换、全部替换

var s = "2016-11-11"; s.replace("- ", "");//201611-11 s.replace(/\-/g, "")//

男娘i/ 2022年07月15日 04:21/ 0 赞/ 353 阅读

相关 js中字符串的替换

js中字符串的替换在js中字符串全部替换可以用以下方法：两种区别：正则&常规 str.replace("需要替换的字符串"，"新字符串")　 str.repla

待我称王封你为后i/ 2022年03月20日 09:29/ 0 赞/ 331 阅读