AST反混淆实战:4行代码解决obfuscator解密函数反复赋值问题

谁借莪１个温暖的怀抱￠ 2022-12-27 09:12 232阅读 0赞

前天打了个 [安卓逆向 + JavaScript 逆向组合课][_ JavaScript] 的广告，今天写在原创的东西，以飨读者。

### **更新了** ###

obfuscator 混淆工具更新了，地址

https://obfuscator.io/

之前的解混淆脚本都失效了，因为**解密的字符串函数反复的赋值给其他的变量**，所以遍历 CallExpression 表达式时，判断条件就失效了。举个简单的例子，打开 上面的网站，如下配置:

![format_png][]

按下上面的 **Reset options** 按钮后，再勾选 **Disable Console Output**复选框，再点击 Obfuscator 按钮，它就自动将示例代码进行了混淆，当前我的混淆代码如下:

可以看到，解密字符串的函数是 **\_0x17c1**,之前的版本，这个函数是直接调用的，现在变了，不直接调用了，而是赋值给其他的变量，如图:

![format_png 1][]

如果按照之前的解混淆代码:

scope.traverse(scope.block,{
        "CallExpression"(_path)
        {
          if (_path.node.start < end) return;
          let {callee,arguments} = _path.node;
          if (!types.isIdentifier(callee,{name:func_name})) return;
          if (!isElementsLiteral(_path)) 
          {
            can_removed = false;
            return;
          }      
          let value = eval(_path.toString());
          console.log(_path.toString(),"-->",value);
          _path.replaceWith(types.valueToNode(value));        
        },
    });

在

if (!types.isIdentifier(callee,{name:func_name})) return;

这行代码，判断就会失效，因为函数名称已经变了。那如何让它不失效呢？

### **分析** ###

遇事不慌，我们先来分析。可以看到，它每次赋值的语句都是 VariableDeclarator 这种类型的表达式:

var _0x2e11d2 = _0x17c1,
    var _0x18fd4c = _0x17c1;
    var _0x1eb17c = _0x17c1;
    ........

那是不是可以在 解密函数的作用域(scope)内遍历 VariableDeclarator表达式呢，找到这些语句呢:

scope.traverse(scope.block,{
          VariableDeclarator(_path)
          {
            let {id,init} = _path.node;
          },
    })

注意，它们还有个共同的特定，就是其 init 节点都是 Identifier类型的节点，而且其name子节点就是 解密函数名，因此可以写出判断:

scope.traverse(scope.block,{
          VariableDeclarator(_path)
          {
            let {id,init} = _path.node;
            if (!types.isIdentifier(init,{name:func_name})) return;
          },
    })

那符合条件的节点又该如何处理？当然是调用强大的 **rename** 函数了。

举个简单的列子，

var _0x2e11d2 = _0x17c1,

将作用域内的所有 \_0x2e11d2 变量名，全部重命名为 \_0x17c1，那上面那个判断失效的语句不就不会失效了？

代码如下：

scope.traverse(scope.block,{
          VariableDeclarator(_path)
          {
            let {id,init} = _path.node;
            if (!types.isIdentifier(init,{name:func_name})) return;
            _path.scope.rename(id.name,func_name);
          },
        })

替换完成后，会变成:

var _0x17c1= _0x17c1,

这是一个DeadCode，直接删除就好了。

因此完整的代码就是:

scope.traverse(scope.block,{
          VariableDeclarator(_path)
          {
            let {id,init} = _path.node;
            if (!types.isIdentifier(init,{name:func_name})) return;
            _path.scope.rename(id.name,func_name);
            _path.remove();
          },
    })

其真正核心的代码就一行:

_path.scope.rename(id.name,func_name);

怎么样，是不是超级简单， 几乎没有任何难度，就轻松秒掉了新版ob混淆解密字符串函数重复赋值的问题。

留个疑问，如果赋值的变量又重新赋值了呢，例如:

var _0x2e11d2 = _0x17c1;
    var _0x2e11d3 = _0x2e11d2;
    var _0x2e11d4 = _0x2e11d3;
    var _0x2e11d5 = _0x2e11d4;
    ........

多达十多次的反复赋值，上面的脚本会失效吗？为什么？

[_ JavaScript]: http://mp.weixin.qq.com/s?__biz=MzAwNTY1OTg0MQ%3D%3D&chksm=8323755db454fc4bf610a0443474f3e3d4bf5100448b497d33f8902fa77bc561e5e81afa3387&idx=1&mid=2647562483&scene=21&sn=56562aacb6ab94a82e659a6137187885#wechat_redirect
[format_png]: /images/20221120/066b98fe0b6f455591c51c3796064ef4.png
[format_png 1]: /images/20221120/fc29784fc2cd4735809512e26f9cf810.png