AST混淆实战|仿obfuscator混淆控制流平坦化(超详细版)

浅浅的花香味﹌ 2022-09-11 13:20 241阅读 0赞

之前写过一篇这样的文章 : [JavaScript 代码混淆实战(六):仿obfuscator混淆控制流平坦化][JavaScript _obfuscator]，但并没有写过程，在这篇文章里面说明下！

依然以文章里的代码来说明怎么进行控制流平坦化。

## 混淆前: ##

window = {};
    window.atob = function(r) {
        e = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=";
        var o = String(r).replace(/=+$/, "");
        if(o.length % 4 == 1) throw new t("'atob' failed: The string to be decoded is not correctly encoded.");
        for(var n, a, i = 0, c = 0, d = ""; a = o.charAt(c++); ~a && (n = i % 4 ? 64 * n + a : a, i++ % 4) ? d += String.fromCharCode(255 & n >> (-2 * i & 6)) : 0) a = e.indexOf(a);
        return d
    }

## 混淆后: ##

window = {};
    
    
    window.atob = function (_0xc0750g) {
      var _0xfbb16d = "4|1|2|3|0"["split"]("|"),
          _0xec2868 = 0;
    
    
      while (!![]) {
        switch (_0xfbb16d[_0xec2868++]) {
          case "0":
            return _0xec4345;
            continue;
    
    
          case "1":
            var _0x1adc16 = String(_0xc0750g).replace(/=+$/, "");
    
    
            continue;
    
    
          case "2":
            if (_0x1adc16.length % 4 == 1) throw new t("'atob' failed: The string to be decoded is not correctly encoded.");
            continue;
    
    
          case "3":
            for (var _0xb342a5, _0x7ecb47, _0xc54a87 = 0, _0xa14d1g = 0, _0xec4345 = ""; _0x7ecb47 = _0x1adc16.charAt(_0xa14d1g++); ~_0x7ecb47 && (_0xb342a5 = _0xc54a87 % 4 ? 64 * _0xb342a5 + _0x7ecb47 : _0x7ecb47, _0xc54a87++ % 4) ? _0xec4345 += String.fromCharCode(255 & _0xb342a5 >> (-2 * _0xc54a87 & 6)) : 0) _0x7ecb47 = e.indexOf(_0x7ecb47);
    
    
            continue;
    
    
          case "4":
            e = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=";
            continue;
        }
    
    
        break;
      }
    };

通过比对前后代码，发现需要处理的事情比较多:

*  有些变量名被混淆了;
 *  函数体执行顺序被打乱了，需要打乱的逻辑。
 *  多了一个 VariableDeclaration 节点，稍微复杂点，需要构造;
 *  多了一个while-switch 结构，需要构造。
 *  函数体替换成了 VariableDeclaration 节点 和 while-switch 结构，涉及到多节点替换。

**现在来各个击破。**

**一，混淆部分变量名:**

这些混淆了的变量名很有规律:

*  都是以 \_0x 开头；
 *  变量名长度都是9；  
    
 *  \_0x 后面的字符基本都在 “0123456789abcdef”区间内。

因此，需要一个可以随机生成长度为 6 的字符串，随便百度都可以得到这样的代码，我这里稍微做了修改，以满足我的需求。

调用上面的 **getRandomName**，并设置长度，即可随机生成字符串。

接下来就是对变量名进行混淆了，直接使用scope.rename即可。这里我们需要避免生成重复的变量名，插件源代码如下:

**二，函数体执行顺序被打乱了，需要打乱的逻辑:**

通过观察不难发现，其实就是 函数体的各执行语句被While-switch结构打乱了，因此我们可以获取 函数体的长度，然后根据这个长度生成一个随机数据，用这个随机数组来控制分发器，然后生成 Switch语句里的case子节点，部分代码如下:

let body = node.body.body;
        if (!body || body.length == 0) return;
        
        let newArray = getRandomArray(body.length);
        
        ...........
        
        let cases = [];
        for (let index = 0;index < body.length; index++)
        {
          let testNode = types.valueToNode(String(newArray[index]));
          let consequent = [body[index],types.ContinueStatement()];
          let SwitchCaseNode = types.SwitchCase(testNode,consequent);
          cases[newArray[index]] = SwitchCaseNode;
        }
       ..........

这样，我们就生成好了 Switch语句里的case子节点，也就是将函数体的执行顺序打乱了。

**三，构造 VariableDeclaration 节点**

即构造下面代码的节点:

var _0xfbb16d = "4|1|2|3|0"["split"]("|"),
          _0xec2868 = 0;

这个没什么难度，加入星球的朋友可以直接构造出来:

let firstVarName  = getRandomName(6);
        let secondVarName = getRandomName(6);
        
        let firstVarNode  = types.VariableDeclarator(types.Identifier(firstVarName),types.valueToNode(newArray));
        let secodeVarNode = types.VariableDeclarator(types.Identifier(secondVarName),types.valueToNode(0));
        
        let firstNode = types.VariableDeclaration("var",[firstVarNode,secodeVarNode]);

很简单就完成了 VariableDeclaration 节点的构造。

**四，构造 while-switch 结构。**

先看部分代码，观察需要构造哪些节点:

while (!![]) {
        switch (_0xfbb16d[_0xec2868++]) {
        ......
        }
    
    
        break;
      }

可以看到，需要构造的有 !!\[\] 和 \_0xfbb16d\[\_0xec2868++\]，再就是switch节点和while节点。

!!\[\] 构造很简单，如:

let Unarynode = types.UnaryExpression("!",types.ArrayExpression(),true);
    let testNode = types.UnaryExpression("!",Unarynode,true);

\_0xfbb16d\[\_0xec2868++\] 构造也不难:

let updateNode = types.UpdateExpression("++",types.Identifier(secondVarName),false);
    let discriminNode = types.MemberExpression(types.Identifier(firstVarName),updateNode,true);

switch节点的构造:

let switchNode = types.SwitchStatement(discriminNode,cases);

然后再构造 while 节点:

let WhileNode = types.WhileStatement(testNode,types.BlockStatement([switchNode,types.BreakStatement()]));

至此，所有的节点都构造完成，再进行替换即可。

**五，多节点替换。**

这里没有使用path的replaceWithMultiple方法，直接使用的是赋值:

node.body.body = [firstNode,WhileNode];

所有完整代码请访问我的github:

https://github.com/Tsaiboss/ControlFlow

欢迎star！

最后再打一波广告，干货真的很多哦，确定不来融入这个圈子吗？

![ff0aca03acc555c39248f4e86673978b.png][]

[JavaScript _obfuscator]: http://mp.weixin.qq.com/s?__biz=MzAwNTY1OTg0MQ==&mid=2647562648&idx=1&sn=0bd57b16f65a9b1b5a93bb6fc0f80be1&chksm=83237436b454fd20bca72b3c702f172c1a5e97429cf088bf4d76adccea817e27db68d5418ce3&scene=21#wechat_redirect
[ff0aca03acc555c39248f4e86673978b.png]: /images/20220828/899283e8919e467ab7d9751f345705e1.png