Деобфускация JS-кода или алгоритм разбора

334

TF-Studio

6 октября 2013, 09:49

1875

Пара вопросов имеется.

1. Есть ли какой-то инструмент или алгоритм для получения из обфусцированого кода чего-то более внятного?

ﾟωﾟﾉ= /｀ｍ´）ﾉ ~┻━┻ //*´∇｀*/ ['_']; o=(ﾟｰﾟ) =_=3; c=(ﾟΘﾟ) =(ﾟｰﾟ)-(ﾟｰﾟ); (ﾟДﾟ) =(ﾟΘﾟ)= (o^_^o)/ (o^_^o);(ﾟДﾟ)={ﾟΘﾟ: '_' ,ﾟωﾟﾉ : ((ﾟωﾟﾉ==3) +'_') [ﾟΘﾟ] ,ﾟｰﾟﾉ :(ﾟωﾟﾉ+ '_')[o^_^o -(ﾟΘﾟ)] ,ﾟДﾟﾉ:((ﾟｰﾟ==3) +'_')[ﾟｰﾟ] }; (ﾟДﾟ) [ﾟΘﾟ] =((ﾟωﾟﾉ==3) +'_') [c^_^o];(ﾟДﾟ) ['c'] = ((ﾟДﾟ)+'_') [ (ﾟｰﾟ)+(ﾟｰﾟ)-(ﾟΘﾟ) ];(ﾟДﾟ) ['o'] = ((ﾟДﾟ)+'_') [ﾟΘﾟ];(ﾟoﾟ)=(ﾟДﾟ) ['c']+(ﾟДﾟ) ['o']+(ﾟωﾟﾉ +'_')[ﾟΘﾟ]+ ((ﾟωﾟﾉ==3) +'_') [ﾟｰﾟ] + ((ﾟДﾟ) +'_') [(ﾟｰﾟ)+(ﾟｰﾟ)]+ ((ﾟｰﾟ==3) +'_') [ﾟΘﾟ]+((ﾟｰﾟ==3) +'_') [(ﾟｰﾟ) - (ﾟΘﾟ)]+(ﾟДﾟ) ['c']+((ﾟДﾟ)+'_') [(ﾟｰﾟ)+(ﾟｰﾟ)]+ (ﾟДﾟ) ['o']+((ﾟｰﾟ==3) +'_') [ﾟΘﾟ];(ﾟДﾟ) ['_'] =(o^_^o) [ﾟoﾟ] [ﾟoﾟ];(ﾟεﾟ)=((ﾟｰﾟ==3) +'_') [ﾟΘﾟ]+ (ﾟДﾟ) .ﾟДﾟﾉ+((ﾟДﾟ)+'_') [(ﾟｰﾟ) + (ﾟｰﾟ)]+((ﾟｰﾟ==3) +'_') [o^_^o -ﾟΘﾟ]+((ﾟｰﾟ==3) +'_') [ﾟΘﾟ]+ (ﾟωﾟﾉ +'_') [ﾟΘﾟ]; (ﾟｰﾟ)+=(ﾟΘﾟ); (ﾟДﾟ)[ﾟεﾟ]='\\'; (ﾟДﾟ).ﾟΘﾟﾉ=(ﾟДﾟ+ ﾟｰﾟ)[o^_^o -(ﾟΘﾟ)];(oﾟｰﾟo)=(ﾟωﾟﾉ +'_')[c^_^o];(ﾟДﾟ) [ﾟoﾟ]='\"';(ﾟДﾟ) ['_'] ( (ﾟДﾟ) ['_'] (ﾟεﾟ+(ﾟДﾟ)[ﾟoﾟ]+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ (ﾟｰﾟ)+ (ﾟΘﾟ)+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ ((ﾟｰﾟ) + (ﾟΘﾟ))+ (ﾟｰﾟ)+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ (ﾟｰﾟ)+ ((ﾟｰﾟ) + (ﾟΘﾟ))+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ ((o^_^o) +(o^_^o))+ ((o^_^o) - (ﾟΘﾟ))+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ ((o^_^o) +(o^_^o))+ (ﾟｰﾟ)+ (ﾟДﾟ)[ﾟεﾟ]+((ﾟｰﾟ) + (ﾟΘﾟ))+ (c^_^o)+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟｰﾟ)+ ((o^_^o) - (ﾟΘﾟ))+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ (o^_^o)+ (ﾟΘﾟ)+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ (ﾟΘﾟ)+ ((ﾟｰﾟ) + (o^_^o))+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ ((o^_^o) - (ﾟΘﾟ))+ ((ﾟｰﾟ) + (ﾟΘﾟ))+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟｰﾟ)+ (c^_^o)+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ (c^_^o)+ (ﾟｰﾟ)+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ (ﾟΘﾟ)+ ((ﾟｰﾟ) + (o^_^o))+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ (ﾟΘﾟ)+ ((o^_^o) +(o^_^o))+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ ((o^_^o) - (ﾟΘﾟ))+ (ﾟｰﾟ)+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟｰﾟ)+ (c^_^o)+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ ((o^_^o) - (ﾟΘﾟ))+ (o^_^o)+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ (c^_^o)+ (ﾟΘﾟ)+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ (o^_^o)+ (ﾟΘﾟ)+ (ﾟДﾟ)[ﾟεﾟ]+((ﾟｰﾟ) + (o^_^o))+ ((ﾟｰﾟ) + (o^_^o))+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟｰﾟ)+ ((o^_^o) - (ﾟΘﾟ))+ (ﾟДﾟ)[ﾟεﾟ]+((ﾟｰﾟ) + (ﾟΘﾟ))+ (ﾟΘﾟ)+ (ﾟДﾟ)[ﾟoﾟ]) (ﾟΘﾟ)) ('_');

Вот что-то типо такого, привести в порядок.

Зачем?

Потому что большинство веб-вирусов имеют стандартные последовательности.

К примеру недавнее бурное обсуждение:

createElement('iframe')

document.cookie

document.cookie.indexOf

Просто хочется не только поиск по сигнатурам, но и анализ совпадений. (для последующего более оперативного составления сингатур)

При указанном выше - вероятность что вирус +-80%

2. Есть какие-то (лучше русскоговорящие) ресурсы, где обсуждают активно веб-безопасность?

3. Обсудить такой алгоритм поиска вирусов.

Каждая команда имеет индекс.

createElement('iframe') = +3%
проверка на мобильное устройство = +4%
странная длинная последовательность из цифр-букв = +20%

(цифры даны для примера)

Далее если переданный код набирает высокий бал - он обрабатывается ручками (или другими автоматизированными инструментами(обсуждаемо) ).

Если устанавливается что вирус - то идет поиск возможной последовательности или поиск сигнатур, с последующим выкладываем.

Всё ещё лучший способ заработка для белых сайтов: GoGetLinks (https://www.gogetlinks.net/?inv=fahbn8).

173

beginerx

6 октября 2013, 10:08

#1

и что я теперь не могу document.cookie или ифрей использовать, какой-то ГС антиврус начнет мне балы начислять и банить? Какой-то бред и без вас достаточно проблем с ложными детектами на элементарный ява скрипт от яндекс и гугла сэйф бровзинга! В принципе идея бредовая! По стандарту НЕ может быть вирусов на ява-скрипт! Ну никак не может! Там же виртуальая машина интерпретирующая ява-скрипт и песочница и без доступа к ф-я ос напрямую.

Все вирусы используют дыры и ошибки в текущей версии кода браузера - вот с ними и боритесь! С дырами! А не со стандартными ява-скрипт возможностями типа ифрэйм.

1

>>>Скорость и Реакция<<< (https://vk.com/app4629907 ): онлайн тренировка скорости и времени реакции.... (https://vk.com/app4612117 )... (https://vk.com/club18740762 ).

334

TF-Studio

6 октября 2013, 10:11

#2

ошибки в текущей версии кода браузера - вот с ними и боритесь

сомнительная идея.

С дырами я не могу бороться, я лишь помогаю людям защищать свои сайты.

Эти данные будут для другого использованы. (для вебмастеров)

Про ложные срабатывания - в курсе, как бы.

Давайте будем более аргументированно и конструктивно вести диалог.

Поиск по совпадениям - всего лишь для поиска сигнатур.

Далее:

Яндекс сообщает что сайт заражен, но сразу понять где именно вирус, среднестатистическому вебмастер не представляется возможным.

А вот если сразу указать участок кода которые и представляет угрозы - это было бы удобно.

К тому же редирект на фишинг - не является косяком в браузере. (к примеру)

Более глобально стоит смотреть.

173

beginerx

6 октября 2013, 11:15

#3

никто вебмастера сомнительный код у самого себя на сайте ставить не заставляет, значит его хостинг или персональный комп взломали и вирусировали и никакого смыла возится с ява скриптами нет - тупиковый путь. В силу наличия в ява-скрипте в терминах си-шарпа рефлексии там бесконечные возможности для шифрации в том числе и на лету, тут вы заведомо проиграете! У вас уже трудности с дещифрацией паблика от студента, а с приватными, "на лету" полиморфными, решениями будет 100% облом, там все намного круче чем тот фрагмент 15 летней давности публичного криптора что в начале топика. Ну и набирает популярность так называемый накл от великого и могучего гугла, там вообще полный абзац дешифровщикам, но песочница, так что лучше забейте и займитесь реальными вирусами и дырами в ОС, хостингах и тд.

334

TF-Studio

6 октября 2013, 11:25

#4

Не спор, своя истину тут тоже есть.

Переиграть и победить: как анализировать конкурентов для продвижения сайта

Яндекс Вебмастер вынес товарные фиды в отдельный раздел