搜索

[27455] 2020-06-15_JS逆向时碰到了恶心的死代码怎么办？手把手教你解决！

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-19
2020-06-15_JS逆向时碰到了恶心的死代码怎么办？手把手教你解决！ J S 逆 向 时 碰 到 了 恶 心 的 死 代 码 怎 么 办 ？ 手 把 手 教 你 解 决 ！ 原 创   N i g h t T e a m 团 队   N i g h t T e a m   2 0 2 0 - 0 6 - 1 5 " N i g h t T e a m " 一 个 值 得 加 星 标 的 公 众 号 。 文 章 作 者 ： 「 夜 幕 团 队   N i g h t T e a m 」   -   蔡 老 板 、 L o c o 润 色 、 校 对 ： 「 夜 幕 团 队   N i g h t T e a m 」   -   L o c o 你 是 否 也 曾 有 过 「 在 逆 向 时 看 到 一 大 坨 代 码 ， 但 自 己 却 无 从 下 手 在 逆 向 时 看 到 一 大 坨 代 码 ， 但 自 己 却 无 从 下 手 」 的 遭 遇 ？ 你 是 否 也 曾 有 过 「 跟 着 代 码 跳 了 很 久 之 后 ， 才 发 现 那 一 大 坨 代 码 其 实 没 有 任 何 作 用 跟 着 代 码 跳 了 很 久 之 后 ， 才 发 现 那 一 大 坨 代 码 其 实 没 有 任 何 作 用 」 的 惨 痛 经 历 ？ 你 是 否 也 曾 碰 到 过 「 代 码 量 特 别 大 、 一 格 式 化 就 卡 死 ， 但 后 来 发 现 有 很 大 一 坨 代 码 都 没 有 任 何 用 处 代 码 量 特 别 大 、 一 格 式 化 就 卡 死 ， 但 后 来 发 现 有 很 大 一 坨 代 码 都 没 有 任 何 用 处 」 的 狗 血 场 景 ？ 别 担 心 ， 其 实 这 些 情 况 我 们 只 需 要 静 下 心 来 好 好 分 析 一 下 代 码 ， 并 将 无 用 代 码 统 统 剔 除 ， 就 能 轻 松 解 决 掉 。 本 文 将 带 你 实 际 地 分 析 一 段 被 知 名   J a v a s c r i p t   代 码 混 淆 工 具   O b f u s c a t o r   混 淆 过 的 代 码 ， 并 将 混 淆 后 的 代 码 中 的 无 用 代 码 全 部 剔 除 ， 尽 可 能 地 将 这 段 代 码 打 回 原 形 。 基 础 知 识 基 础 知 识 在 开 始 之 前 ， 我 们 先 了 解 一 下 这 种 「 在 代 码 中 插 入 大 量 无 用 代 码 以 混 淆 视 听 」 的 混 淆 方 式 吧 。 这 种 混 淆 方 式 有 两 种 叫 这 种 混 淆 方 式 有 两 种 叫 法 ， 或 者 说 是 两 种 做 法 法 ， 或 者 说 是 两 种 做 法 ， 它 们 分 别 是 「 死 代 码 死 代 码 」 和 「 花 指 令 花 指 令 」 。 死 代 码 死 代 码 死 代 码 一 开 始 是 被 用 来 描 述 一 些 人 写 代 码 时 写 出 的 没 有 用 到 的 代 码 的 ， 为 了 编 译 后 的 文 件 尽 可 能 地 小 ， 编 译 器 通 常 会 对 死 代 码 进 行 移 除 处 理 。 而 在 不 知 道 什 么 时 候 开 始 ， 死 代 码 被 安 全 工 作 者 们 用 来 作 为 一 种 混 淆 机 制 ， 以 将 代 码 量 变 得 极 为 庞 大 ， 使 进 行 逆 向 工 将 代 码 量 变 得 极 为 庞 大 ， 使 进 行 逆 向 工 程 的 人 难 以 找 到 主 要 逻 辑 程 的 人 难 以 找 到 主 要 逻 辑 。 但 死 代 码 有 个 很 明 显 的 特 征 ： 它 虽 然 看 着 代 码 量 很 大 ， 但 实 际 却 完 全 不 会 在 程 序 的 正 常 代 码 中 被 调 用 但 死 代 码 有 个 很 明 显 的 特 征 ： 它 虽 然 看 着 代 码 量 很 大 ， 但 实 际 却 完 全 不 会 在 程 序 的 正 常 代 码 中 被 调 用 。 如 果 你 有 兴 趣 的 话 ， 可 以 对 一 些 包 含 了 死 代 码 的 代 码 进 行 聚 类 分 析 ， 你 会 发 现 死 代 码 和 正 常 代 码 之 间 泾 渭 分 明 ， 正 常 代 码 都 是 互 相 关 联 着 的 ， 而 死 代 码 却 是 孤 零 零 的 一 块 或 者 多 块 ， 并 且 正 常 代 码 还 完 全 不 会 与 死 代 码 产 生 关 联 。 花 指 令 花 指 令
花 指 令 是 以 前 被 大 量 运 用 在 木 马 、 病 毒 的 免 杀 上 的 一 种 反 反 汇 编 手 段 ， 花 指 令 中 的 “ 指 令 ” 通 常 指 的 是 汇 编 中 的   、   之 类 的 调 用 、 跳 转 指 令 ， 而 攻 击 者 们 会 将 这 些 指 令 巧 妙 地 插 入 到 恶 意 代 码 的 执 行 逻 辑 中 ， 使 得 静 态 分 析 工 具 在 分 析 到 这 个 位 置 时 无 法 正 常 反 汇 编 。 花 指 令 曾 经 的 目 的 主 要 有 两 个 ， 一 个 是 使 杀 毒 软 件 无 法 自 动 分 析 出 恶 意 代 码 ， 达 到 瞒 天 过 海 的 效 果 ； 一 个 是 给 安 全 工 作 者 在 分 析 恶 意 软 件 时 设 下 层 层 阻 拦 ， 使 安 全 工 作 者 需 要 花 费 更 多 的 时 间 才 能 理 清 代 码 逻 辑 ， 达 到 拖 延 时 间 的 效 果 。 同 样 是 不 知 道 什 么 时 候 开 始 ， 花 指 令 也 被 安 全 工 作 者 们 用 来 作 为 一 种 混 淆 机 制 。 在 这 种 应 用 场 景 下 ， 花 指 令 和 死 代 码 其 实 很 类 似 ， 它 们 都 是 用 了 大 量 无 用 代 码 来 混 淆 视 听 都 是 用 了 大 量 无 用 代 码 来 混 淆 视 听 ， 但 花 指 令 和 死 代 码 最 大 的 区 别 就 是 ， 花 指 令 的 无 用 代 码 是 会 花 指 令 和 死 代 码 最 大 的 区 别 就 是 ， 花 指 令 的 无 用 代 码 是 会 被 混 在 正 常 代 码 中 进 行 执 行 的 被 混 在 正 常 代 码 中 进 行 执 行 的 。 相 比 于 死 代 码 而 言 ， 花 指 令 会 造 成 一 些 性 能 损 失 花 指 令 会 造 成 一 些 性 能 损 失 ， 但 同 时 也 会 让 进 行 逆 向 工 程 的 人 更 加 难 以 分 析 。 但 花 指 令 也 不 是 无 懈 可 击 的 ， 为 了 不 影 响 程 序 正 常 的 执 行 ， 花 指 令 不 能 干 扰 到 程 序 的 原 有 逻 辑 花 指 令 不 能 干 扰 到 程 序 的 原 有 逻 辑 ， 举 个 例 子 ： 所 以 其 实 只 要 你 能 看 出 这 一 通 操 作 没 有 任 何 意 义 ， 花 指 令 也 自 然 就 没 法 影 响 到 你 了 。 小 结 小 结 不 管 是 死 代 码 还 是 花 指 令 ， 其 实 都 只 需 要 我 们 仔 细 观 察 就 能 将 其 剔 除 ， 它 们 并 不 是 什 么 很 难 搞 的 东 西 ， 见 得 多 了 之 后 你 甚 至 都 不 需 要 细 看 就 能 快 速 排 除 掉 一 些 明 显 不 是 正 常 代 码 的 部 分 ， 毕 竟 常 见 的 混 淆 器 中 用 到 的 代 码 其 实 重 合 度 是 很 高 的 ， 同 样 的 套 路 见 多 了 之 后 自 然 很 容 易 分 辨 。 更 何 况 ， 代 码 混 淆 是 需 要 考 虑 性 能 损 耗 的 ， 对 方 不 可 能 为 了 防 你 逆 向 工 程 而 无 止 尽 地 对 代 码 进 行 混 淆 代 码 混 淆 是 需 要 考 虑 性 能 损 耗 的 ， 对 方 不 可 能 为 了 防 你 逆 向 工 程 而 无 止 尽 地 对 代 码 进 行 混 淆 ， 要 不 然 人 家 正 常 业 务 也 没 办 法 进 行 了 。 实 战 实 战 j m p c a l l a   =   1 b   =   2 #   花 指 令 开 始 ， 对 变 量 进 行 了 一 通 操 作 a   + =   1 a   + =   b #   花 指 令 结 束 ， 又 把 变 量 的 值 给 变 回 去 了 a   - =   b a   - =   1 c ( a ,   b )
基 础 知 识 了 解 完 了 ， 我 们 来 进 入 实 战 环 节 。 首 先 ， 我 们 打 开   h t t p s : / / o b f u s c a t o r . i o / ， 这 是   O b f u s c a t o r   的 网 页 版 本 ， 可 以 快 速 在 网 页 上 进 行 混 淆 参 数 的 配 置 ， 并 且 一 键 生 成 并 导 出 混 淆 后 的 代 码 。 顺 带 一 提 ， O b f u s c a t o r   是 一 款 非 常 优 秀 的   J a v a S c r i p t   代 码 混 淆 工 具 ， 但 代 码 结 构 都 是 固 定 的 ， 如 果 想 要 更 好 的 混 淆 效 如 果 想 要 更 好 的 混 淆 效 果 ， 可 将 混 淆 后 的 代 码 进 行 修 改 ， 从 而 让 别 人 更 难 分 析 和 调 试 果 ， 可 将 混 淆 后 的 代 码 进 行 修 改 ， 从 而 让 别 人 更 难 分 析 和 调 试 。 现 在 ， 我 们 用 它 给 出 的 样 例 代 码 来 进 行 混 淆 。 样 例 代 码 如 下 ： 注 意 ， 我 们 需 要 勾 选 以 下 选 项 ： 这 三 个 选 项 的 效 果 分 别 是 ： • C o m p a c t   c o d e 将 代 码 中 的 换 行 符 全 部 去 掉 ， 使 得 代 码 看 起 来 毫 无 结 构 性 。 也 就 是 所 谓 的 代 码 压 缩 。 • S e l f   D e f e n d i n g 在 代 码 中 插 入 自 检 代 码 ， 用 来 干 扰 逆 向 工 程 的 人 对 代 码 进 行 格 式 化 、 变 量 重 命 名 操 作 ， 如 果 代 码 被 格 式 化 了 就 会 无 法 正 常 运 行 。 • D e a d   C o d e   I n j e c t i o n 在 代 码 中 插 入 死 代 码 ， 也 就 是 本 文 的 重 点 。 配 置 好 参 数 后 点 击   O b f u s c a t e   按 钮 ， 即 可 生 成 按 配 置 混 淆 后 的 代 码 ， 我 生 成 的 代 码 是 这 样 的 （ 长 图 警 告 ） ： / /   P a s t e   y o u r   J a v a S c r i p t   c o d e   h e r e f u n c t i o n   h i ( )   {   c o n s o l e . l o g ( " H e l l o   W o r l d ! " ) ; } h i ( ) ;
可 以 看 到 ， 原 本 短 短 的 几 行 代 码 ， 在 经 过 混 淆 后 变 成 了 这 么 多 。 而 且 这 个 代 码 还 是 经 过 压 缩 的 ， 完 全 看 不 出 层 级 。 当 然 ， 这 个 代 码 是 可 以 正 常 运 行 的 ， 我 们 用 N o d e J S 跑 一 遍 看 看 ： 看 起 来 混 淆 并 没 有 影 响 到 正 常 的 代 码 逻 辑 ， 我 们 再 把 这 一 坨 代 码 给 格 式 化 一 下 看 看 ：
果 不 其 然 ， 格 式 化 后 的 代 码 直 接 就 没 法 运 行 了 。 在 平 时 我 们 遇 到 这 种 情 况 时 要 记 住 ， 原 代 码 可 以 正 常 运 行 但 格 式 化 之 后 不 行 ， 那 么 这 个 报 错 肯 定 是 跟 格 式 化 代 码 有 关 系 的 ， 至 于 它 报 错 的 内 容 具 体 是 啥 意 思 其 实 并 不 重 要 。 那 么 怎 么 办 呢 ？ 我 们 来 静 态 分 析 一 下 它 的 代 码 就 知 道 了 。 先 来 看 看 第 一 段 代 码 ： 定 义 了 一 个 数 组 并 初 始 化 ， 显 然 不 可 能 造 成 什 么 问 题 。 接 着 看 看 第 二 段 代 码 （ 长 图 警 告 ） ：
这 是 一 个 自 执 行 的 函 数 ， 没 有 返 回 值 。 但 是 注 意 ， 它 的 第 一 个 实 参 是   ， 也 就 是 之 前 定 义 的 那 个 数 组 ， 对 应 的 形 参 是   。 我 们 可 以 根 据 这 个 来 判 断 它 对   _ 0 x 2 8 3 1 _ 0 x 5 2 8 c b a _ 0 x 2 8 3 1
  做 了 些 什 么 。 现 在 我 们 来 一 段 一 段 地 分 析 这 第 二 大 段 代 码 中 的 每 一 段 代 码 ， 首 先 是 第 一 段 代 码 ： 这 么 短 的 代 码 相 信 大 家 都 应 该 能 看 懂 ， 是 对     进 行   s h i f t   操 作 ， 而     是 自 执 行 函 数 的 形 参 ， 实 参 是   。 换 句 话 说 ， 它 就 是 对 实 参 进 行   s h i f t   操 作 。 不 过 这 里 它 只 是 声 明 ， 并 没 有 调 用 ， 所 以 还 不 会 去 改 变 实 参 。 然 后 是 第 二 段 代 码 和 第 三 段 代 码 ， 这 里 因 为 代 码 量 太 大 就 不 整 个 贴 出 来 了 ， 之 前 已 经 贴 过 完 整 代 码 了 。 第 二 段 代 码 是 定 义 了 一 个 函 数 ， 而 第 三 段 代 码 则 是 调 用 这 个 函 数 ， 因 此 我 们 主 要 分 析 这 第 二 段 代 码 即 可 。 如 果 你 不 会 分 析 ， 可 以 跳 过 它 声 明 的 语 句 ， 它 真 正 开 始 执 行 的 是 这 行 代 码 ： 不 要 看 它 这 段 代 码 里 面 既 有   ， 又 有   ， 其 实 它 跟   c o o k i e   没 有 半 毛 钱 关 系 ， 它 只 是 一 个   o b j e c t   的   k e y   值 ， 仅 此 而 已 。 因 此 ， 我 们 只 需 要 关 注 它 有 没 有 改 变 实 参 ， 有 没 有 改 变 全 局 变 量 。 整 个 代 码 全 局 变 量 只 有 一 个   ， 它 也 是 实 参 ， 也 就 是 说 只 需 要 关 心 这 个     即 可 。 通 过 上 面 的 分 析 我 们 可 以 知 道 ， 它 的 第 一 段 代 码 定 义 了 一 个 函 数 ， 确 实 改 变 了 实 参 ， 但 是 没 有 调 用 。 因 此 ， 我 们 得 找 找 看 它 在 哪 里 被 调 用 的 ， 直 接 搜 函 数 名   ， 定 位 到 这 里 ： v a r   _ 0 x 1 b 0 e 9 9   =   f u n c t i o n ( _ 0 x 5 b e b 4 6 )   {               w h i l e   ( - - _ 0 x 5 b e b 4 6 )   {                       _ 0 x 5 2 8 c b a [ ' p u s h ' ] ( _ 0 x 5 2 8 c b a [ ' s h i f t ' ] ( ) ) ;               }       } ; _ 0 x 5 2 8 c b a _ 0 x 5 2 8 c b a _ 0 x 2 8 3 1 v a r   _ 0 x 5 3 c 9 b 6   =   _ 0 x 1 d 1 b c 5 [ ' u p d a t e C o o k i e ' ] ( ) ; s e t C o o k i e g e t C o o k i e _ 0 x 2 8 3 1 _ 0 x 2 8 3 1 _ 0 x 1 b 0 e 9 9 _ 0 x 4 c 5 1 d 1 ( _ 0 x 1 b 0 e 9 9 ,   _ 0 x 2 8 3 1 3 8 ) ;
这 时 ， 是 第 一 个 实 参 ， 第 二 个 实 参     则 是 自 执 行 函 数 的 形 参 ， 它 对 应 的 实 参 是   ， 是 一 个 整 形 的 数 值 。 这 下 ， 我 们 只 需 要 看 看     的 函 数 声 明 即 可 ： 这 么 大 一 段 代 码 ， 其 实 真 正 改 变 实 参 的 只 有 这 里 。 我 们 将 这 两 行 代 码 结 合 一 下 ， 就 会 变 成 这 样 ： 所 以 ， 第 二 大 段 代 码 这 个 自 执 行 函 数 中 的 第 二 段 代 码 只 有 这 一 句 是 真 正 改 变 实 参 的 地 方 ， 其 他 的 全 部 是 垃 圾 代 码 ， 直 接 删 除 即 可 。 删 除 后 ， 这 个 自 执 行 函 数 就 变 成 了 这 样 ： 这 样 看 起 来 就 清 爽 多 了 ， 运 行 试 试 看 ： _ 0 x 1 b 0 e 9 9 _ 0 x 2 8 3 1 3 8 0 x 1 b f _ 0 x 4 c 5 1 d 1 v a r   _ 0 x 4 c 5 1 d 1   =   f u n c t i o n ( _ 0 x 3 d 5 7 4 3 ,   _ 0 x 3 c 2 1 e 0 )   {         _ 0 x 3 d 5 7 4 3 ( + + _ 0 x 3 c 2 1 e 0 ) ; } ; _ 0 x 1 b 0 e 9 9 ( + + _ 0 x 2 8 3 1 3 8 ) ; ( f u n c t i o n ( _ 0 x 5 2 8 c b a ,   _ 0 x 2 8 3 1 3 8 )   {       v a r   _ 0 x 1 b 0 e 9 9   =   f u n c t i o n ( _ 0 x 5 b e b 4 6 )   {               w h i l e   ( - - _ 0 x 5 b e b 4 6 )   {                       _ 0 x 5 2 8 c b a [ ' p u s h ' ] ( _ 0 x 5 2 8 c b a [ ' s h i f t ' ] ( ) ) ;               }       } ;       _ 0 x 1 b 0 e 9 9 ( + + _ 0 x 2 8 3 1 3 8 ) ; } ( _ 0 x 2 8 3 1 ,   0 x 1 b f ) ) ;
还 是 报 同 样 的 错 误 ， 接 着 往 下 分 析 第 三 段 代 码 （ 长 图 警 告 ） ：
这 是 一 个 函 数 ， 可 以 看 到 ， 引 用 全 局 变 量     的 只 有 这 一 行 ： 这 是 一 个 赋 值 语 句 ， 但 是 不 会 改 变     这 个 变 量 ， 因 此 我 们 只 需 要 重 点 关 注 它 的 返 回 值     就 好 。 再 来 看 看 它 最 后 赋 值 的 地 方 ， 有 两 处 ， 一 处 在   i f   语 句 里 面 ： 另 外 一 处 在   e l s e   语 句 里 面 ： 那 它 到 底 是 执 行 的 那 行 代 码 呢 ， 来 看 看   i f   语 句 的 条 件 ： 继 续 分 析 上 面 的 代 码 ： 以 及     最 近 的 定 义 的 地 方 ： 这 样 就 清 楚 了 ，   这 个 条 件 是 成 立 的 ， 所 以     最 后 赋 值 的 地 方 是 这 里 ： 函 数     赋 值 在 这 里 ： _ 0 x 2 8 3 1 v a r   _ 0 x 1 b 0 e 9 9   =   _ 0 x 2 8 3 1 [ _ 0 x 5 2 8 c b a ] ; _ 0 x 2 8 3 1 _ 0 x 1 b 0 e 9 9 _ 0 x 1 b 0 e 9 9   =   _ 0 x 1 b 0 e [ ' S m C l C t ' ] ( _ 0 x 1 b 0 e 9 9 ,   _ 0 x 2 8 3 1 3 8 ) ; _ 0 x 1 b 0 e 9 9   =   _ 0 x 3 0 9 8 4 6 ; _ 0 x 3 0 9 8 4 6   = = =   u n d e f i n e d v a r   _ 0 x 3 0 9 8 4 6   =   _ 0 x 1 b 0 e [ ' j Z z R v K ' ] [ _ 0 x 5 2 8 c b a ] ; _ 0 x 1 b 0 e [ ' j Z z R v K ' ] _ 0 x 1 b 0 e [ ' j Z z R v K ' ]   =   { } ; _ 0 x 3 0 9 8 4 6   = = =   u n d e f i n e d _ 0 x 1 b 0 e 9 9 _ 0 x 1 b 0 e 9 9   =   _ 0 x 1 b 0 e [ ' S m C l C t ' ] ( _ 0 x 1 b 0 e 9 9 ,   _ 0 x 2 8 3 1 3 8 ) ; _ 0 x 1 b 0 e [ ' S m C l C t ' ]
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理