欢迎来到福编程网,本站提供各种互联网专业知识!

JS脚本混淆、加密讨论第1/2页

发布时间:2007-05-06 作者: 来源:转载
新年新气象!好好研究一把自己关心的专项问题。感兴趣的兄弟们请务必踊跃发言。首先,我抛砖引玉了。“混淆”也好,“加密”也好,都是为了加强代码的安全性,防范被人任意查看,在一定程度上保护资源。请大家注意,在本主题的标题上,我把“混淆”、“加密”
新年新气象!好好研究一把自己关心的专项问题。感兴趣的兄弟们请务必踊跃发言。

首先,我抛砖引玉了。

“混淆”也好,“加密”也好,都是为了加强代码的安全性,防范被人任意查看,在一定程度上保护资源。

请大家注意,在本主题的标题上,我把“混淆”、“加密”这两个概念堆在一起了,为的是从实现目的的角度着眼,从实践的角度着手,不主观地排斥任何手段。所有“混淆”技巧都是为了降低代码的可读性;所有“加密”技巧都是要通过“解密”计算过程将代码还原以后才能执行。

但是,把“混淆|加密”和在一起讨论,并不意味着我们要把概念搞混,在这里为了预防接下来的讨论中发生因概念不清而导致偏离主题,在先说明我们这里所讨论的范畴不包含代码的encode编码形式()。这个既非“混淆”,也非“加密”,而是“编码”,相应的解码过程早为业界所熟悉,因而没有多大的保护意义,最多只是让人多费一道手续而已。当然我们可以把它当作“混淆|加密”的最后一步,目的为了唬住不了解它的人或者让了解的人多费一道手续。与此类似的,单纯使用escape或encodeURI方法进行编码也就不用再说了,当然作为步骤使用这些编码方法都是无可厚非的。

理想的“混淆|加密”应该具有以下特点:
1、没有确定的破解模式;

2、很难编制自动破解程序(只能手工破解);

3、破解过程繁琐、耗时;

4、“混淆|加密”后的代码,比原始代码长度增加少;
容易想象得出,如果没有第4条的限制,那么前三条是很容易实现的,只要疯狂地添加与代码执行部分无关的字符就可以了。

以上四条是最基本的要求。至于“使人眼从主观上感觉混乱”可以认为是第3条的一个实现方式,恢复代码可读性可能是破解过程的主要工作内容之一。

接下来,我希望大家一起来总结一下现有的“混淆|加密”技巧,以作为我们进一步研究的基矗任何个人的见识终归总是有限的,唯有请大家集思广益才能真正有所突破、建树经典。

见过这样一些“混淆|加密”技巧:


1、去除缩进、空行、换行、注释

这个是混淆的基本手段,太基本了,不想多说。可以缩短代码。一般根据“;”所在,恢复换行是最常规的破解技巧。


2、变量名替换

将JavaScript文件中所有的变量名替换为一组合法的随机字符串,使其失去自我描述的能力,从而干扰阅读。

替换方式大概有“缩短”和“改乱”这两种。

举例:http://pub.idr.gov.cn/dujid/projects/jsdisturber/这个是改乱的

有一个叫做JavascriptObfuscator的软件,充斥在大大小小的软件下载站上,各位或许用过也说不定。

这一类的混淆器都有不少的参数可以设定。对此我们不知是该哭还是该笑。

这种技巧对于长而复杂的代码比较有效,也就是可以让原本就难懂的代码变得更难懂。但是对于简短的代码来说就没有什么保护意义了。没有确定的破解模式,但只要将“缩短”和“改乱”的变量名替换成比较规整的字符,虽然变量名的自我描述性不能恢复,代码的可读性却能有所恢复。


3.通过自定义变量名引用JS关键字

例如;vard=document;

接下来的代码中所有的关键字document都用d来替换。

这种技巧可以缩短代码。反方向替换即可还原。


4、通过添加大段大段的空白,把代码前后间隔的很长,从而干扰阅读。
这里添加的空白一般是x00,而不是通常所谓的“空格”(x20)。

复制代码 代码如下:

网页混淆

『网页混淆』

网页混淆(http://sage.68ab.com)

网页混淆

http://sage.68ab.com 



把多余的空白批量去除掉就没事了。


5.混眼法

也有两种:

一种是通过利用[]和["、']及变量定义语句来添加与代码功能无关的字符;

另一种就是增添与代码功能无关的运算语句。

下面这段算是一个综合的例子,这是从收藏的老贴上翻来的,不过代码似乎不完整,不能运行。就意思意思吧。

[Ctrl+A 全选 注:如需引入外部Js需刷新才能执行]
毫无疑问,从混淆的角度来说,这种技巧可以比较有效地保护相对简短的代码,因为这个方法增加了代码的长度和复杂度。当然,增加长度这一点是比较让人无奈的。如果原始的代码本来就长,混淆以后也许就会长得让人无法容忍了。


6.对原代码进行加密,同时附上解密的代码

运行时先解密,然后通过document.write()或eval()或innerHTML把代码释放出来执行。

像这种类型的,通常加密解密过程可能搞得比较复杂,还加了混淆,但是这一切就像《红楼梦》的判词里唱的那样纯属“枉然”:因为这把代码释放出来执行的最后一步通常就是明码,而且还不加混淆。这就让人不禁想起了那个老生常谈的“木桶原理”,木板箍成的水桶的盛水能力取决于它最短的那片木板,代码加密的保护强度取决于最薄弱的那个环节。

破解时只要把最后这一步的代码改掉就行了,谁会在意他中间过程有多高明、多复杂?

下面演示了一例:

在这里,我在网页里随便添加了一个textarea,名为kc,把document.write(xxx)改成了kc.value=xxx。于是,在代码经解密最后释放出来时没有被执行,而是直接扔进了textarea里。

[Ctrl+A 全选 注:如需引入外部Js需刷新才能执行]
上面的例子是我偶然撞见的一个带木马的网页。已经去掉了木马链接。运行是安全的。这一例中也用到了第5类技巧。
如果能够设法保护最后这一步的代码,这种方法无疑将成为通用性最好的一类技巧。
当前1/2页12下一页阅读全文

相关推荐