1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

// 使用 v_jstools 插件进行 AST 反混淆
// 安装：npm install v_jstools

const parser = require("@babel/parser");
const traverse = require("@babel/traverse").default;
const generator = require("@babel/generator").default;
const fs = require("fs");

// 读取混淆代码
const code = fs.readFileSync("obfuscated.js", "utf-8");
const ast = parser.parse(code);

// 进行 AST 转换
traverse(ast, {
// 添加反混淆规则
});

// 生成还原后的代码
const output = generator(ast).code;
fs.writeFileSync("deobfuscated.js", output);

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

// 原始 JSVMP 解释器代码（示例）
function vmExecute(bytecode, context) {
// 插桩：记录字节码执行过程
console.log("Executing bytecode:", bytecode);
console.log("Context:", JSON.stringify(context));

let pc = 0;
while (pc < bytecode.length) {
const opcode = bytecode[pc];

// 插桩：记录每条指令
console.log(`PC: ${pc}, Opcode: ${opcode}`);

switch (opcode) {
case OP_LOAD:
// 插桩：记录加载操作
console.log("LOAD operation:", bytecode[pc + 1]);
break;
// ... 其他指令
}
pc++;
}
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

// 在 Chrome DevTools 中使用 Overrides 功能
// 1. 打开 DevTools → Sources → Overrides
// 2. 选择本地文件夹
// 3. 修改 JS 文件并保存
// 4. 刷新页面测试修改后的代码

// 示例：Hook JSVMP 解释器
(function () {
const originalVMExecute = window.vmExecute;
window.vmExecute = function (...args) {
console.log("VM Execute called with:", args);
const result = originalVMExecute.apply(this, args);
console.log("VM Execute result:", result);
return result;
};
})();

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

// 在关键位置设置断点
// 使用 Chrome DevTools 的条件断点功能

// 条件断点示例：
// 当某个变量等于特定值时暂停
if (context.register[0] === 0x1234) {
debugger;
}

// 记录执行路径
const executionTrace = [];
function traceExecution(pc, opcode) {
executionTrace.push({ pc, opcode, timestamp: Date.now() });
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

// Hook Function.prototype.apply
const originalApply = Function.prototype.apply;
Function.prototype.apply = function (thisArg, args) {
// 记录 apply 调用
console.log("Apply called:");
console.log(" Function:", this.name || "anonymous");
console.log(" This:", thisArg);
console.log(" Args:", args);

// 调用原始方法
const result = originalApply.call(this, thisArg, args);

console.log(" Result:", result);
return result;
};

// 在日志中分析算法逻辑，避免大量动态调试

1
2
3
4
5
6
7
8
9

// 搜索特征代码
// 1. 查找 WebAssembly 实例化代码
const wasmMatch = code.match(/WebAssembly\.instantiate/);

// 2. 查找大量的 switch-case 结构（Dispatcher 特征）
const switchMatch = code.match(/switch\s*\(\s*\w+\s*\)\s*\{/g);

// 3. 查找字节码数组（通常是大型 Uint8Array）
const bytecodeMatch = code.match(/new\s+Uint8Array\(\[[\d,\s]+\]\)/);

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

// 在 Dispatcher 中插入日志
function dispatcher(opcode, operand) {
console.log(`Opcode: 0x${opcode.toString(16)}, Operand: ${operand}`);

switch (opcode) {
case 0x01: // LOAD
console.log(" Action: LOAD from", operand);
break;
case 0x02: // STORE
console.log(" Action: STORE to", operand);
break;
case 0x10: // ADD
console.log(" Action: ADD");
break;
// ... 更多指令
}
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35

// 从 JSVMP 字节码执行日志中还原的算法
function generateXBogus(params) {
// 步骤 1: 参数序列化
const serialized = serializeParams(params);

// 步骤 2: MD5 哈希
const hash = md5(serialized);

// 步骤 3: 时间戳处理
const timestamp = Math.floor(Date.now() / 1000);

// 步骤 4: 混合编码
const mixed = mixEncode(hash, timestamp);

// 步骤 5: Base64 变种编码
const encoded = customBase64(mixed);

return encoded;
}

// 辅助函数实现
function serializeParams(params) {
return Object.keys(params)
.sort()
.map((key) => `${key}=${params[key]}`)
.join("&");
}

function mixEncode(hash, timestamp) {
const result = [];
for (let i = 0; i < hash.length; i++) {
result.push(hash.charCodeAt(i) ^ (timestamp & 0xff));
}
return result;
}