发票查验平台JS混淆文件反编译原理分析兼谈obfuscator反编译步骤分析

eab23.js 文件中，有很多这样相似的内容：

var _0x529034 = function(_0x5e14f6, _0x57ca28, _0x3e86a7, _0x840509, _0xed3c8) {
    return _0x41fe(_0x840509 - -0x2a0, _0x57ca28);
};
var _0x5b09eb = function(_0x11aaba, _0xd13acb, _0x136ee0, _0x1117f6, _0xb199c5) {
    return _0x41fe(_0x1117f6 - -0x2a0, _0xd13acb);
};
var _0x4fdc5c = function(_0x1f407e, _0x434aad, _0xc703f, _0x2949dc, _0x105708) {
    return _0x41fe(_0x2949dc - -0x2a0, _0x434aad);
};
var _0x43e376 = function(_0x414ff3, _0x1b482d, _0x2ea534, _0x59f6ba, _0x2c242b) {
    return _0x41fe(_0x59f6ba - -0x2a0, _0x1b482d);
};

validate.js 文件中，有很多这样相似的内容：

var _0x59b365 = function(_0x2e8c3d, _0x5f4d89, _0x4274ee, _0x4755bd, _0x1fdebd) {
    return _0x2edd(_0x2e8c3d - -0x1c9, _0x5f4d89);
};
var _0x145334 = function(_0x522d00, _0x40ed98, _0x1d37ad, _0x382dd0, _0x5373f5) {
    return _0x1355(_0x522d00 - -0x1c9, _0x40ed98);
};
var _0x540d8c = function(_0x494c38, _0x1b5d36, _0x1ccd46, _0x3c5c10, _0x5c4f79) {
    return _0x1355(_0x494c38 - -0x1c9, _0x1b5d36);
};
var _0x3285ed = function(_0x9ff47b, _0x323bd7, _0x31fff6, _0x376f73, _0x3d4f26) {
    return _0x1355(_0x9ff47b - -0x1c9, _0x323bd7);
};

eab23.js 和 validate.js 区别是 -0x2a0 和 -0x1c9 。

而 _0x41fe， _0x2edd， _0x1355 涉及 2个解密函数，

eab23.js 文件中

var _0x5e21 = function(_0x4d2ad2, _0x5e214d) {
    _0x4d2ad2 = _0x4d2ad2 - 0x0;
... ... ...

var _0x41fe = function(_0x4d2ad2, _0x5e214d) {
    _0x4d2ad2 = _0x4d2ad2 - 0x0;
... ... ...

validate.js 文件中

var _0x2edd = function(_0x35ac23, _0x2edd1b) {
    _0x35ac23 = _0x35ac23 - 0x0;
... ... ...

var _0x1355 = function(_0x35ac23, _0x2edd1b) {
    _0x35ac23 = _0x35ac23 - 0x0;
... ... ...

这个变量 _0x5e21 和 _0x2edd 反编译定义变量 CDE1
这个变量 _0x41fe 和 _0x1355 反编译定义变量 CDE2

_0x59b365， _0x145334， _0x59b365，等等 反编译中定义成： GHI

GHI也需要公式化及函数参数的计算 GHI公式化只有一种是函数公式。

例如：

  var _0x59b365 = function(_0x2e8c3d, _0x5f4d89, _0x4274ee, _0x4755bd, _0x1fdebd) {
        return _0x2edd(_0x2e8c3d - -0x1c9, _0x5f4d89);

处理成

_0x59b365 = _0x2edd(_0x2e8c3d - -0x1c9, _0x5f4d89)

与第二种类型不同的是，这里先替换 _0x59b365 GHI变量，最后，计算 _0x2edd CDE1或CDE2 函数。

eab23.js 文件中

   if (yzmWait == 0x0) {
        $(_0x542286( - 0x29f, -0x26e, -0x29a, -0x29a, -0x2a3))[_0x529034( - 0x2b7, '0ING', -0x27d, -0x299, -0x2de)]();
        $(_0x529034( - 0x2c2, '8@t@', -0x2d5, -0x298, -0x27a))[_0x4fdc5c( - 0x260, 'M!xk', -0x296, -0x297, -0x2c1)]();
        yzmWait = 0x3c;

经过替换后

if (yzmWait == 0x0) {
    $('#yzm_unuse_img')['hide']();
    $('#yzm_img')['show']();
    yzmWait = 0x3c;

validate.js 文件中

var _0x236b0b;
var _0x2d9f7a = new Date();
var _0xb2ea2 = _0x2d9f7a[_0x569190( - 0x2ce, -0x246, -0x262, -0x24d, -0x24f)]();
var _0x640a43 = _0xb2ea2[_0x524f06( - 0x1f4, -0x23d, '53V7', -0x20d, -0x24e)]();
var _0x3ff9b5 = _0x640a43[_0xd32495( - 0x218, -0x1d6, '@lGP', -0x2bf, -0x24d)](0x2);

经过替换后

var _0x236b0b;
var _0x2d9f7a = new Date();
var _0xb2ea2 = _0x2d9f7a['getFullYear']();
var _0x640a43 = _0xb2ea2['toString']();
var _0x3ff9b5 = _0x640a43['substring'](0x2);

至此js文件的反编译基本完成。

需要注意的几点

1. 对于字符串中，带括号 ( 的处理，要注意，如果不考虑括号，会出错。
2. EFG公式化后，参数的分割是一个问题，主要是 括号的配对问题。
3. 反编译出来的js没有格式化（美化），替换后的多余的代码也没有删除。
4. 本文只针对发票查验平台的js举例分析，对于其他js没有进行过测试。
5. 本分析开源代码是 delphi 编写。只能在delphi10 下编译，delphi7下因为，js中return decodeURIComponent(_0x4828e5); delphi7中对应的函数有问题，但delphi10没有问题。
6. 本文所反编译出来的js源码，适合对其中的算法进行算法分析，以利于移植成其他编程语言。

delphi 源码中

 procedure TDeObJs.AutoDeObJsCodeFile();
var
    strDeJsFile: string;
begin
    ReadJsFile(FJsFileName);
    FABC := ABC_GetABC();
    Log.i('ABC：' + FABC);
    if not string.IsNullOrEmpty(FABC) then
    begin
        ABC_SetListData();
        if FCryptType = 1 then
        begin
            FCDE := CDE_GetCDE();
            Log.i('CDE：' + FCDE);
            if not string.IsNullOrEmpty(FCDE) then
            begin
                CDE_ReplaceFuncData();
            end;

            Repeat
                FEFG := '';
                FEFG := EFG_GetEFG();
                Log.i('EFG：' + FEFG);
                if not string.IsNullOrEmpty(FCDE) and not string.IsNullOrEmpty(FEFG) then
                begin
                    EFG_SetListFuncData();
                    EFG_ReplaceFuncData();
                end;
            Until FEFG = '';
        end;

        if FCryptType = 2 then
        begin
            CDE_SetCDE12();

            Repeat
                FGHI := '';
                FGHI := GHI_GetGHI();
                Log.i('GHI：' + FGHI);
                if not string.IsNullOrEmpty(FCDE1) and not string.IsNullOrEmpty(FCDE2) and not string.IsNullOrEmpty(FGHI) then
                begin
                    GHI_SetListFuncData();
                    GHI_ReplaceFuncData();
                end;
            Until FGHI = '';

            if not string.IsNullOrEmpty(FCDE1) then
            begin
                CDE12_ReplaceFuncData(FCDE1);
            end;

            if not string.IsNullOrEmpty(FCDE2) then
            begin
                CDE12_ReplaceFuncData(FCDE2);
            end;

        end;


    end;
    strDeJsFile := ExtractFilePath(FJsFileName) + 'De_' + ExtractFileName(FJsFileName);
    WriteDeJsFile(strDeJsFile);

end;

源码地址 GItHUB 上 ，
源码下载
最后本人郑重说明，所反编译出来的js源码不能直接再次动态加载运行，其中，涉及JS语法问题，所以，如果你反编译出来的js文件不可使用，不要抱怨…，但本文所给出来的分析方法是完全可行的。