ast框架一键还原某里140初体验

漁滒 · 发表于 2022-3-12 00:07

首先使用WebStorm从github项目上拉取项目到本地，项目地址为相关文献中的第一条。

在这里插入图片描述

在使用方式中可以看到，需要先安装nodejs，以及一些依赖，然后就可以运行测试文件main.js。本机已经按照过nodejs了，就不再安装了，还没有安装的小伙伴可以到nodejs官网下载安装。

接着是安装依赖，去到下方Terminal窗口依次安装

在这里插入图片描述

npm install iconv-lite
npm install @babel/core

在这里插入图片描述

安装完成后，尝试运行main.js

在这里插入图片描述
在运行过程中会打印一些控制流反混淆的信息

在这里插入图片描述
大概10秒钟左右执行完成，并提示文件输出到【./demos/demo1/output.js】，打开文件查看

在这里插入图片描述
可以看到控制流已经被还原，字符串也已经反混淆好了，简单的一步操作，将代码的可读性大幅增加。

以main.js作为入口文件

在这里插入图片描述
其中的【common_fix.fix】是关键函数，把源代码得到输出代码，其中的【common_fix】是由【./pro/demo1_fix】中导入，继续查看demo1_fix.js

在这里插入图片描述
整体逻辑非常清晰，一开始是官方函数，基本所有使用babel库的都是这样导入api，解析的反混淆的核心函数，这里一共有15个函数，每个函数都是各自专属的功能，最后是反混淆的主函数，表明了每个api的执行顺序。

这里的15个自写的api反混淆函数还没有时间详细研究，整个设计下来非常简洁，执行速度也非常快（对比我的要好几分钟），总结来说是非常值得学习的。

rmin · 发表于 2023-1-6 15:22

漁滒发表于 2022-5-3 12:36
有检测，但并不严格

渔哥，咨询个问题，就是现在阿里滑块，会有打开控制台检测，只要打开控制台，无论怎么划都过不了，后面听说加载之前运行一下 console.log=function(){}; 可以规避，我试了但只要再看一下里面参数的变化，就有报错了，这种情况应该怎么办

rmin · 发表于 2023-1-6 15:20

漁滒发表于 2022-9-5 18:12
一般只能先手动处理

我现在有一些思路，我发现阿里的这种死循环，都是因为一些不会之下的逻辑导致的，而进入这些逻辑的判断条件，他的变量都是固定的，我直接先通过变量筛选一波if判断就可以直接删掉会进入死循环的分支。

jzm713 · 发表于 2022-3-12 08:09

谢谢分享。

daisypojie · 发表于 2022-3-12 09:00

提示: 作者被禁止或删除内容自动屏蔽

lfm333 · 发表于 2022-3-12 09:46

感谢分享

子时落尽 · 发表于 2022-3-14 09:40

感谢分享，对AST反OB混淆学习学习

elviss · 发表于 2022-3-15 20:45

向大佬学习

pmtime365 · 发表于 2022-3-18 14:16

感谢分享

xionghaizi · 发表于 2022-4-16 14:08

漁滒厉害，以后可以尝试直接反混淆AST一把梭哈了

503671998 · 发表于 2022-5-3 00:13

阿里有改文件的检测

503671998 · 发表于 2022-5-3 12:17

哥这个替换了有检查怎么查出来在哪里啊

帐号		自动登录	找回密码
密码			注册[Register]

daisypojie daisypojie 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	daisypojie 发表于 2022-3-12 09:00 提示: 作者被禁止或删除内容自动屏蔽
	如何快速判断一个文件是否为病毒！
	回复支持举报

[其他转载] ast框架一键还原某里140初体验