AST实战|手把手教你还原ob混淆:ob混淆代码特征

爱被打了一巴掌 2022-09-08 00:29 507阅读 0赞

## ob混淆过的代码有那些特征? ##

特征一: **大数组 + 移位自执行函数 + 解密字符串函数**。

下面的代码是一个之前我在官网上混淆的一个例子:

![28ca8def7079615cd341d57e0ccae7ec.png][]

可以看到，大数组为变量 **\_0x33fc**，移位自执行函数体比较大，其实化简后有效的就这么点:

具体的化简过程可以参考我的这篇文章: [JS逆向时碰到了恶心的死代码怎么办？手把手教你解决！][JS]

而解密函数是 **\_0x14b7**，因为后面有很多地方会调用这个函数。

特征二: **定义的Object，其key和value很有规律**

上面代码所示的Object变量为 **\_0x22e4cc**,其key值长度是一样的，而它对应的value要么是**字符串**，要么是**函数**，其返回结构也是非常简单。

特征三: **while + switch 组合**

var _0x5ee804 = '4|5|3|0|2|1'['split']('|')
      , _0x572cee = 0;
    while (!![]) {
        switch (_0x5ee804[_0x572cee++]) {
        case '0':
            _0xdedd5["__proto__"] = _0x2f44f0['bind'](_0x2f44f0);
            continue;
    
    
        case '1':
            _0x39a3d5[_0x359747] = _0xdedd5;
            continue;
    
    
        case '2':
            _0xdedd5['toString'] = _0x1941e5["toString"]["bind"](_0x1941e5);
            continue;
    
    
        case '3':
            var _0x1941e5 = _0x39a3d5[_0x359747] || _0xdedd5;
    
    
            continue;
    
    
        case '4':
            var _0xdedd5 = _0x2f44f0["constructor"]['prototype']["bind"](_0x2f44f0);
    
    
            continue;
    
    
        case '5':
            var _0x359747 = _0x195f0c[_0x301b17];
            continue;
        }
        break;
    }

看到这个特征，相信大部分人都看到过，一个很简单的**控制流平坦化**，而且，ob混淆的控制流平坦化基本都是这样，还没见过不一样的。哪天要是在case语句中修改case值，就不好弄咯。

特征四: **一些干扰调试的垃圾代码**

如:

setInterval(function () {
      _0x5dcd51();
    }, 4000);
    function _0x5dcd51(_0x712948) {
      function _0x441fc1(_0x2aae3c) {
        if (typeof _0x2aae3c === "string") return function (_0x1430b6) {}["constructor"]("while (true) {}")["apply"]('counter');else ('' + _0x2aae3c / _0x2aae3c)["length"] !== 1 || _0x2aae3c % 20 === 0 ? function () {
          return true;
        }['constructor']("debugger")["call"]("action") : function () {
          return false;
        }["constructor"]("debugger")['apply']("stateObject");
    
    
        _0x441fc1(++_0x2aae3c);
      }
    
    
      try {
        if (_0x712948) return _0x441fc1;else _0x441fc1(0);
      } catch (_0x219393) {}
    }

也有类似这样的:

这些代码是干扰或者阻扰你进行调试的，对加密参数来说，没有什么用，我一般都是直接删除。

ob混淆的代码特征基本上就是这些，而最新版的ob混淆，也只是第一个略有修改，大数组变成了一个函数，其他的基本没变。

欢迎关注本人微信公众号，学习更多AST相关知识。

[28ca8def7079615cd341d57e0ccae7ec.png]: /images/20220829/ed2f60a761fe4d44b0277d5d19daef00.png
[JS]: http://mp.weixin.qq.com/s?__biz=Mzg5NzIyMzkzNw%3D%3D&chksm=c0745fd4f703d6c24d69dc9b58ead9ff2f95d705e9d4496b8659ffba8014645ca2c58b02ee18&idx=1&mid=2247484346&scene=21&sn=ab2afbae0930304f50f5ed6d4cf3fe03#wechat_redirect