AST反混淆实战:猿人学爬虫比赛第二题详细题解

谁借莪１个温暖的怀抱￠ 2022-12-19 03:43 277阅读 0赞

### **缘起** ###

应星友要求，写下此文，哎，有钱能使鬼推磨。

实战地址:

http://match.yuanrenxue.com/match/2

### **抓包分析** ###

由于谷歌浏览器某些请求不会显示，建议使用火狐浏览器来抓包分析。

![format_png][]

这是一个典型的cookie反爬，最后一个红框处是数据接口。如果不看题目，有经验的人一眼就能看出来。

第一次请求，返回的是一段js代码:

![format_png 1][]

第二次请求的是同一地址，这时候带上了cookie:

![format_png 2][]

根据经验，第二次请求的cookie，肯定是第一次请求计算的，因为第一次请求结果中并没有直接设置cookie。

注意记录此时的 cookie 值:

m : "9c8b2ba4362ff5a7023d8db7041dcd04|1603517539000"

|后面明显是个**时间戳**。

### **AST化简代码，静态分析** ###

将第一次请求的js代码保存为encode.js，去掉 script标签。

保存后，使用一键解ob混淆工具还原代码，命令:

node decode_obfuscator.js encode.js

打开保存后的结果 decode\_result.js，代码很短，一下就看到了 cookie设置的地方:

![format_png 3][]

是在 **\_0x721154** 这个函数里设置的，后面直接就调用了，实参是 函数 **\_0x5015e3** ，它的返回值是一个 **时间戳，也就是 |后面的值**。

把 **\_0x721154** 这个函数改造一下，去掉DOM相关的操作，让它直接返回结果:

function _0x721154(_0x1243f6, _0x167ea5) {
        return "m" + _0x3445fe() + "=" + _0x531a93(_0x1243f6) + "|" + _0x1243f6 + "; path=/";
      }

现在实参明确了，返回结果也明确了，先来看 \_0x3445fe 这个函数

### **去除垃圾代码** ###

**\_0x3445fe** 这个函数 定义如下:

来看 **\_0x385b2c** 这个函数:

var _0x385b2c = _0x2d77f8(this, function () {
          var _0x245ea0 = function () {
            var _0x56862a = _0x245ea0["constructor"]("return /\" + this + \"/")()["compile"]("^([^ ]+( +[^ ]+)+)+[^ ]}");
    
    
            return !_0x56862a["test"](_0x385b2c);
          };
    
    
          return _0x245ea0();
        });
    
    
        _0x385b2c();

**这个函数在声明之后马上就执行了，没有实参，虽然有返回值，但是并没有赋值给其他变量。 再看函数体，没有对任何全局变量进行操作，因此，可以直接进行删除!**

**按照这个思路，后面的** **\_0x449be1();** **调用同样可以删除，没啥用。**

再看 try语句:

try {
          if (global) {
            console["log"]("\u4EBA\u751F\u82E6\u77ED\uFF0C\u4F55\u5FC5python\uFF1F");
          } else {
            while (1) {
              console["log"]("\u4EBA\u751F\u82E6\u77ED\uFF0C\u4F55\u5FC5python\uFF1F");
              debugger;
            }
          }
        } catch (_0x1d08b1) {
          return navigator["vendorSub"];
        }

浏览器环境没有 **global** 这个对象，那就会执行 catch语句，返回了:

navigator["vendorSub"]

这个值，直接在控制台运行得出它是一个空值。因此，直接替换成这样就好:

return "";

这样就清爽多了:

function _0x3445fe(_0x22e65, _0x533ac1) {
        var _0x537cb8 = 0;
        qz = [10, 99, 111, 110, 115, 111, 108, 101, 32, 61, 32, 110, 101, 119, 32, 79, 98, 106, 101, 99, 116, 40, 41, 10, 99, 111, 110, 115, 111, 108, 101, 46, 108, 111, 103, 32, 61, 32, 102, 117, 110, 99, 116, 105, 111, 110, 32, 40, 115, 41, 32, 123, 10, 32, 32, 32, 32, 119, 104, 105, 108, 101, 32, 40, 49, 41, 123, 10, 32, 32, 32, 32, 32, 32, 32, 32, 102, 111, 114, 40, 105, 61, 48, 59, 105, 60, 49, 49, 48, 48, 48, 48, 48, 59, 105, 43, 43, 41, 123, 10, 32, 32, 32, 32, 32, 32, 32, 32, 104, 105, 115, 116, 111, 114, 121, 46, 112, 117, 115, 104, 83, 116, 97, 116, 101, 40, 48, 44, 48, 44, 105, 41, 10, 32, 32, 32, 32, 32, 32, 32, 32, 32, 32, 32, 32, 125, 10, 32, 32, 32, 32, 125, 10, 10, 125, 10, 99, 111, 110, 115, 111, 108, 101, 46, 116, 111, 83, 116, 114, 105, 110, 103, 32, 61, 32, 39, 91, 111, 98, 106, 101, 99, 116, 32, 79, 98, 106, 101, 99, 116, 93, 39, 10, 99, 111, 110, 115, 111, 108, 101, 46, 108, 111, 103, 46, 116, 111, 83, 116, 114, 105, 110, 103, 32, 61, 32, 39, 402, 32, 116, 111, 83, 116, 114, 105, 110, 103, 40, 41, 32, 123, 32, 91, 110, 97, 116, 105, 118, 101, 32, 99, 111, 100, 101, 93, 32, 125, 39, 10];
        eval(_0x19be63(qz));
        
        return "";
      }

这个函数后面是一个 定时器语句，因为后面有调用 **\_0x3445fe** 这个函数，因此这行调用也可以删除:

setInterval(_0x3445fe(), 500);

定你妹呀！

### **运行得到结果** ###

好了，经过上面的操作，似乎可以运行了。注意加打印并传入实参，方便比对结果:

console.log(_0x721154("1603517539000"));

将上面的代码添加到自执行函数的最好一行，运行报错:

![format_png 4][]

报错位置在 **\_0x3445fe 函数**的 下面代码处:

eval(_0x19be63(qz));

有个history，估计也是dom相关的，先屏蔽掉，再运行:

![format_png 5][]

不报错了，比对之前的cookie值，一模一样。

这就出结果了，简直不要太简单。完！

![format_png 6][]

[format_png]: /images/20221120/fdc585afeae146978723446c758cd749.png
[format_png 1]: /images/20221120/83bd75b8c9f940c5ba494fd6af17496d.png
[format_png 2]: /images/20221120/934011c2d7d642719d66a9913174af73.png
[format_png 3]: /images/20221120/b187c66d25cf4a338dc02ae099364db5.png
[format_png 4]: /images/20221120/765d4f74610248eda9a33601dece48d1.png
[format_png 5]: /images/20221120/24a05baffa554721b662a19fd08d7791.png
[format_png 6]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM0pnYWFqMXZxMVdqUnVJTjR2azJrNGtzVEU5Zm9FRE1CSTZEVGI5RTRRRmY2NUExMUdNS0JWT1FyeUJoakhrYnN1QzBVdlJKdVVUQS82NDA?x-oss-process=image/format,png