网站 › 『脱壳破解区』 › 攻防世界simple_js

wangguang 发表于 2023-8-6 12:08

攻防世界simple_js

# 攻防世界simple_js

# 前言：

作为攻防世界唯一一道关于有关js的题目。大多WriteUP都是一笔带过，直接就是ascall编码转换成字符拼接。却没有一个WriteUP分析过源码并且修改源码通关的。

# 题目描述：

小宁发现了一个网页，但却一直输不对密码。(Flag格式为 Cyberpeace{xxxxxxxxx} )

一进网页弹出了输入密码，输入密码错误返回FAUX PASSWORD HAHA，那我们应该怎么做呢，我的建议是爆破(开玩笑的)



打开控制面板看看有没有前端代码，题目起名有js那么题目肯定是与js有关的



哟西，文件里面果然有段js代码，接下来便对这段代码进行逆向分析！

初始js代码:

```
function dechiffre(pass_enc){
    var pass = "70,65,85,88,32,80,65,83,83,87,79,82,68,32,72,65,72,65";
    var tab= pass_enc.split(',');
            var tab2 = pass.split(',');var i,j,k,l=0,m,n,o,p = "";i = 0;j = tab.length;
                  k = j + (l) + (n=0);
                  n = tab2.length;
                  for(i = (o=0); i < (k = j = n); i++ ){o = tab;p += String.fromCharCode((o = tab2));
                            if(i == 5)break;}
                  for(i = (o=0); i < (k = j = n); i++ ){
                  o = tab;
                            if(i > 5 && i < k-1)
                                    p += String.fromCharCode((o = tab2));
                  }
    p += String.fromCharCode(tab2);
    pass = p;return pass;
}
String["fromCharCode"](dechiffre("\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30"));

h = window.prompt('Enter password');
alert( dechiffre(h) );
```

我总共总结了几种方法可以得到flag。但万物不离其宗，都是为了把正确密码传进dechiffre函数里面执行。

初始代码太复杂了，我们可以通过逆向调试的手段去掉一些无关紧要的代码

# 正文

把初始代码扣进编译器，首先分析函数里面的pass_enc.split(','),可以初步判断传进去的pass_enc参数是有逗号隔开的，不然直接就爆错。由于dechiffre函数没有用到传进去的pass_enc参数所以代码没有报错。

分析dechiffre函数外面的代码：

```
String["fromCharCode"](dechiffre("\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30"));

h = window.prompt('Enter password');
alert( dechiffre(h) );
```

传进dechiffre函数的参数总共有两个，第一个是"\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30"，

第二个便是我们刚进入网页需要输入的密码，第二个直接pass掉了，难道这个世界上真的有人的密码是用逗号隔开的吗，如果有的话，那肯定是"逗逼"。

第一个参数他并没有逗号隔开的，不过明眼一看就是十六进制，转成十进制看看是什么！

复制到控制台运行，得到了用逗号隔开的密码。



改写代码，直接把第一个参数转为十进制传进dechiffre函数

改写后的代码：

```
function dechiffre(pass_enc){
var pass = "70,65,85,88,32,80,65,83,83,87,79,82,68,32,72,65,72,65";
var tab= pass_enc.split(',');
var tab2 = pass.split(',');var i,j,k,l=0,m,n,o,p = "";i = 0;j = tab.length;
    k = j + (l) + (n=0);
    n = tab2.length;
    for(i = (o=0); i < (k = j = n); i++ ){o = tab;p += String.fromCharCode((o = tab2));
            if(i == 5)break;}
    for(i = (o=0); i < (k = j = n); i++ ){
    o = tab;
            if(i > 5 && i < k-1)
                  p += String.fromCharCode((o = tab2));
      }
p += String.fromCharCode(tab2);
pass = p;return pass;
}
pwd = dechiffre("\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30")
console.log(pwd)
```

在dechiffre函数的最后一段代码加入debugger丢到浏览器执行看看代码是如何执行的。



这样子的代码并不容易分析，因为有一些误导的代码。

下面是需要改写的代码

i = (o=0)—>i=0

i < (k = j = n)—>i<n

k = j + (l) + (n=0)—>k=j

改写之后的代码：

```
function dechiffre(pass_enc){
var pass = "70,65,85,88,32,80,65,83,83,87,79,82,68,32,72,65,72,65";
var tab= pass_enc.split(',');
var tab2 = pass.split(',');
var i,j,k,l=0,m,n,o,p = "";
    i = 0;j = tab.length;
    k=j
    n = tab2.length;
    for(i = 0; i < n; i++ ){
      o = tab;
      p += String.fromCharCode((o = tab2));
      if(i == 5)
            break;
    }
    for(i = 0; i < n; i++ ){
      o = tab;
      if(i > 5 && i < k-1)
            p += String.fromCharCode((o = tab2));
      }
p += String.fromCharCode(tab2);
pass = p;
return pass;
}
pwd = dechiffre("\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30")
console.log(pwd)
```

## 第一种通关方法：

在未修改前的代码19行下个断点，刷新。p="FAUX PASSWORD HAH"


在未修改前的代码20行下个断点，单步调试。p="FAUX PASSWORD HAHA"



p += String.fromCharCode(tab2)的作用就是在所有ascall转字符拼接完了之后再拼接一个A。



而传进来的数组pass_enc并没有第十七个数值，所以是个未定义。拼接也是空。而他的本意就是拼接pass的第十七个字符也就是"65"字符A,所以修改后的代码完全可以把这一行删掉。

tab是传下来的数组pass_enc分割的，把拼接的tab2全部修改成tab。把tab2的长度n也修改成tab的长度j，并且把p += String.fromCharCode(tab2);删掉。这样子我们就能把传进来的数组全部转换成字符并且拼接起来。

修改后的代码：

```
function dechiffre(pass_enc){
var pass = "70,65,85,88,32,80,65,83,83,87,79,82,68,32,72,65,72,65";
var tab= pass_enc.split(',');
var tab2 = pass.split(',');
var i,j,k,l=0,m,n,o,p = "";
    i = 0;j = tab.length;
    k = j;
    n = tab2.length;
    for(i = 0; i < j; i++ ){
      o = tab;
      p += String.fromCharCode((o = tab));
      if(i == 5)
            break;
    }
    for(i = 0; i < j; i++ ){
      o = tab;
      if(i > 5 && i < k-1)
            p += String.fromCharCode((o = tab));
      }
pass = p;
return pass;
}
pwd = dechiffre("\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30")
console.log(pwd)
```

结果：



## 第二种通关方法：

从代码可以看出两次for循环都是把tab2数组从ascall码转换成字符

而tab2数组是内置的`var pass = "70,65,85,88,32,80,65,83,83,87,79,82,68,32,72,65,72,65"`

所以我们直接把tab2数组转换成传进来的参数

改写之后的代码：

```
function dechiffre(pass_enc){
var pass = "55,56,54,79,115,69,114,116,107,49,50";
var tab= pass_enc.split(',');
var tab2 = pass.split(',');
var i,j,k,l=0,m,n,o,p = "";
    i = 0;j = tab.length;
    k = j;
    n = tab2.length;
    for(i = 0; i < n; i++ ){
      o = tab;
      p += String.fromCharCode((o = tab2));
      if(i == 5)
            break;
    }
    for(i = 0; i < n; i++ ){
      o = tab;
      if(i > 5 && i < k-1)
            p += String.fromCharCode((o = tab2));
      }
pass = p;
return pass;
}
pwd = dechiffre("\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30")
console.log(pwd)
```

执行结果：



# 结尾：

电脑麦克风坏了，后续视频录好了会发在b站上面。

b站主页：[个人主页](https://space.bilibili.com/440700836)

此文章仅供技术交流使用，如有侵权联系我删除。

zhang7069 发表于 2023-8-6 14:42

小白一枚学习中，感谢大佬

tianyu925 发表于 2023-8-6 13:52

厉害啊，我的老哥

rockwwg 发表于 2023-8-6 14:40

虽然不是太懂，还是感谢

ckrwsx 发表于 2023-8-6 16:53

厚礼鞋，牛

mark00843 发表于 2023-8-7 08:39

虽然不是太懂，还是感谢

抱薪风雪雾 发表于 2023-8-7 09:19

关掉后，或关机重启后，修改的效果还可以用吗

eoo 发表于 2023-8-7 09:59

大佬 牛逼啊{:1_921:}

dcbx502 发表于 2023-8-7 10:16

虽迟但到

yizhimei123 发表于 2023-8-7 10:45

这个可以顶一下！

查看完整版本: 攻防世界simple_js