利用AST解混淆常规思路及经验总结

深碍√TFBOYSˉ_ 2023-01-05 12:06 216阅读 0赞

很多星友问我，拿到一段混淆的代码不知道该如何下手，更不知道怎么还原,我在这里做个经验总结。

## 一. 变量定义的还原 ##

如果初始值为字面量或者 **Identifier** 节点时，如果该变量的值**没有被更改**过，是可以进行还原的。

诸如:

var a = 123,b = -5,c = window....

等这类定义。

详细见星球里的 **restoreVarDeclarator** 插件。

如果变量是这么定义的:

var a = 123 + 456;

则可以先调用 **constantFold** 插件，再调用 **restoreVarDeclarator** 插件。

还有一类就是Array对象的还原，例如:

var a = [1,2,3,4,5];

等这类定义，其元素全部为字面量，并且变量a没有被更改时，也可以进行还原。

详细见星球里的 **replaceArrayElements**  插件。

总之，应该想方设法的对**字面量进行还原**。

## 二.CallExpression 节点的还原 ##

当一个CallExpression节点，其实参(arguments子节点)均为字面量时，可以直接计算出该节点的值，再用结果值替换该节点即可。

诸如:

add(1,2),sub(3,4,5)....

这类节点有个特点，就是其实参均为字面量。其结果是一定可以计算出来的，当然有时可能需要缺啥补啥。

不过这都是小问题。

对于js中的全局函数的调用，诸如:

parseInt("12345",16);

等，可以使用 **evaluateGlobalFunc** 插件来进行值的替换。

而自定义的函数，你可以将函数的**整个定义copy到解混淆的文件**中去，再遍历 CallExpression节点，本地进行计算得出结果再进行替换即可。

只要函数可以能正常运行调用即可。

也可以使用 星球里的 **CalcCallExpression** 插件自识别函数调用计算并替换。

当遇到类似自执行函数，包含CallExpression子节点时，可以使用星球里的 **resolveActualParams** 插件。

还原前:

!function (a,b)
    {
      s = a + b;
    }(2,3);

还原后:

!function () {
      s = 2 + 3;
    }();

## 三.ObjectExpression 节点的还原点的还原 ##

这类节点的混淆在obfuscator混淆中很常见，因为其结构简单，因此还原起来难度也不大。直接使用最新版一键解ob混淆脚本里的 decodeObject 插件即可，都是这套路。

## 四.逗号表达式还原 ##

这类节点直接用星球里的 **resolveSequence** 插件即可进行还原。

该插件思路奇特，代码优雅，非常的赞。

不过有时候需要配合 standardLoop 这个插件使用，例如有类似下面的代码:

for(a=100,b=2,c=3;a>0;a--)
      a+=-5,b+=2,c+=3;

如果直接使用 resolveSequence 插件的话，会还原出错。而将这个for循环先处理下(**使用standardLoop插件**)再进行还原就可以正常了。

## 五.还原控制流平坦化的代码 ##

核心思想:**想方设法找到下一条执行的语句即可。**

详细思路可参考下面三篇文章。

https://t.zsxq.com/EimyZbM
    
    
    https://articles.zsxq.com/id_rgqhlihqrauf.html
    
    
    https://articles.zsxq.com/id_dra3kh243dn2.html

## 六.删除无用的代码 ##

这个没什么好讲的，直接看星球里的 removeDeadCode 插件即可。大家也可以学习这个插件写出更多更好的插件。

如果懒得写插件来删除 DeadCode，也可以手动分析，看看那些代码是不影响加密结果值的。分析方法我在直播的视频中讲过，这里不再赘述。

发表评论取消回复

表情：

评论列表（有 0 条评论，216人围观）

还没有评论，来说两句吧...

相关阅读

相关利用AST解混淆常规思路及经验总结

很多星友问我，拿到一段混淆的代码不知道该如何下手，更不知道怎么还原,我在这里做个经验总结。一. 变量定义的还原如果初始值为字面量或者 Identifier 节点时，

深碍√TFBOYSˉ_/ 2023年01月05日 12:06/ 0 赞/ 217 阅读

相关 AST反混淆实战:obfuscator解混淆四步走

第一步处理CallExpression 下图是某个被obfuscator工具混淆了的代码部分截图: ![format_png][] 这里有很多的 CallExpre

小鱼儿/ 2022年12月27日 14:24/ 0 赞/ 503 阅读

相关 JS逆向:拨云见日，AST解混淆让代码分析变得如此简单

本文分析的是某国外的cdn，如果国内有使用该cdn的站点，请与本人联系立即删除，谢谢。遵纪守法是每个公民应尽的义务和责任。要分析的网站如下: "a

我就是我/ 2022年12月25日 12:59/ 0 赞/ 671 阅读

相关利用AST解混淆先导知识:简单介绍path和node

01 — 关于path的一些操作 path,翻译过来是路径，理解为路径就好了。比如有这么一段代码: var a = 123; 在线网站解析的情况如下:

古城微笑少年丶/ 2022年12月20日 02:44/ 0 赞/ 273 阅读

相关利用AST解混淆先导知识:概念相关

什么是AST？答:在计算机科学中，抽象语法树（Abstract Syntax Tree，AST），或简称语法树（Syntax tree），是源代码语法结构的一种抽象表示

男娘i/ 2022年12月19日 03:46/ 0 赞/ 144 阅读

相关利用AST解混淆先导知识:调用babel库反混淆代码模板

读取JavaScript源文件因为是对源代码进行处理，因此需要读取源文件。当然代码也可以直接放进处理文件中，但是有些代码非常多，不太适合，因此这里使用读取文件的方式来获

朱雀/ 2022年12月19日 03:40/ 0 赞/ 290 阅读

相关 AST混淆实战|仿obfuscator混淆控制流平坦化(加强版)

上一篇文章给出了 [obfuscator混淆控制流平坦化][obfuscator] 混淆前: window = {}; window.atob =

待我称王封你为后i/ 2022年09月12日 09:59/ 0 赞/ 181 阅读

相关 AST混淆实战|仿obfuscator混淆控制流平坦化(超详细版)

之前写过一篇这样的文章 : [JavaScript 代码混淆实战(六):仿obfuscator混淆控制流平坦化][JavaScript _obfuscator]，但并没有写过程

浅浅的花香味﹌/ 2022年09月11日 13:20/ 0 赞/ 244 阅读

相关 AST逆向实战|5s盾混淆代码还原思路及采坑实录

免责声明:本文仅作为学习参考之用，请勿用于非法用途，否则后果自负。本文仅提供还原思路和方法，不提供源代码，请不要找我索取，谢谢。本文不保证看了就能还原，有些简单的

素颜马尾好姑娘i/ 2022年09月11日 06:29/ 0 赞/ 13 阅读

相关 AST反混淆实战篇七|常量折叠

初看标题，你可能不知道常量折叠是什么意思，其实很简单，我把它理解为一个多元表达式合并为一个常量表达式，例如: var a = 1 + 2 + 3 + 4; 等式

小灰灰/ 2022年09月10日 09:25/ 0 赞/ 218 阅读