JS逆向|使用pyexecjs库替换加密字符串

超、凢脫俗 2022-12-19 03:44 240阅读 0赞

声明：本文只作学习研究，禁止用于非法用途，否则后果自负，如有侵权，请告知删除，谢谢！

下面的代码是我在某网站随便找的一段base64的 **javascript** 源码:

window = {};
    window.atob = function(r) {
        e = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=";
        var o = String(r).replace(/=+$/, "");
        if(o.length % 4 == 1) throw new t("'atob' failed: The string to be decoded is not correctly encoded.");
        for(var n, a, i = 0, c = 0, d = ""; a = o.charAt(c++); ~a && (n = i % 4 ? 64 * n + a : a, i++ % 4) ? d += String.fromCharCode(255 & n >> (-2 * i & 6)) : 0) a = e.indexOf(a);
        return d
    }
    window.btoa = function(r) {
        e = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=";
        for(var o, n, a = String(r), i = 0, c = e, d = ""; a.charAt(0 | i) || (c = "=", i % 1); d += c.charAt(63 & o >> 8 - i % 1 * 8)) {
            if(n = a.charCodeAt(i += .75), n > 255) throw new t("'btoa' failed: The string to be encoded contains characters outside of the Latin1 range.");
            o = o << 8 | n
        }
        return d
    }

并在 https://obfuscator.io/ 这个网站上将其进行混淆，注意勾选如下:

![format_png][]

点击 **Obfuscate** 按钮，对代码进行混淆，并在结果栏勾选Evaluate：

![format_png 1][]

将混淆代码进行美化后如下:

可以看到，代码已经被搞的面目全非了，并且多了很多代码。我们来逐步分析。

**一个大数组，一个移位函数，然后就是一个解密字符串的函数 \_0x5c3a 。可以看到后面的代码多次调用这个解密函数。**

本文要做的就是如何对这个解密的函数进行简单的字符替换操作。

先验证可行性:

1.  将 大数组，移位代码及解密函数在控制台运行一下:
    
    ![format_png 2][]
2.  验证base64码表是否正确:
    
    ![format_png 3][]

验证正确，这样看来解密函数可以直接用。

替换思路:

1.  将类似 \_0x5c3a('0x11', '1t8u') 这种调用全部正则查找出来
2.  调用 pyexecjs库计算出 \_0x5c3a('0x11', '1t8u') 的值
3.  全部进行替换

核心代码:

reg = re.compile(r"_0x5c3a$[\s\S]{12,14}'$")
    results = reg.findall(code)  #code是整个混淆代码，此处查找全部调用
    ctx = execjs.compile(jscode) #jscode 是 大数组 + 移位函数 + 解密函数
    for result in results:
        value = ctx.eval(result) #计算解密后的字串
        print (result,value)
        code = code.replace(result,"'" + value + "'")  #替换

替换结果如图:

![format_png 4][]

其实比对混淆前后的代码，你会发现多了很多无用的代码，在静态分析的时候可以直接将其删除，并不影响其功能。

下篇文章讲述如何开启一个node服务进行替换，彻底告别pyexecjs这个库。

[format_png]: /images/20221120/bb10efa3c54341ffb2b81bf67ec9d422.png
[format_png 1]: /images/20221120/16bec6a9d10a43269e261fe52a668f9e.png
[format_png 2]: /images/20221120/7ca2660b220e43ad96a501ea6a5a444c.png
[format_png 3]: /images/20221120/2b42af62149b41ca8e3c48f6239ca247.png
[format_png 4]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGVYeHVUdUdwUlNxQ1dpYWdpY1NPajFncW01SUM3RjkxaWFacE9xU1lxeGliTUc2V3JRNk5Ic2lhRnA0aWFpYVVMYWE5d0FLa0NEZEFhdGFpY2h3LzY0MA?x-oss-process=image/format,png