Рестрингер

Node.js CI

Деобфускация Javascript и восстановление строк. Упростите громоздкую логику, где это возможно, соблюдая при этом ограничения области действия.

Попробуйте онлайн @ restringer.tech.

Если у вас есть комментарии и предложения, смело открывайте вопрос или найдите меня в Твиттере — @ctrl__esc.

Установка
- НПМ
- Клонировать репо
Использование
- Использование командной строки
- Использовать как модуль
Создание пользовательских деобфускаторов
- Шаблонный код для запуска с нуля
Читать далее

Установка

НПМ

npm install -g restringer

Клонировать репо

Требуется Node 16 или новее.

git clone [email protected]:PerimeterX/restringer.git
cd restringer
npm install

Использование

Restringer.js использует общие методы деобфускации, которые реконструируют и восстанавливают запутанные строки, а также упрощает избыточную логику, предназначенную только для загромождения. REstringer использует Детектор обфускации для выявления конкретных типов обфускации, для которых необходимо применить определенные методы деобфускации, чтобы обойти механизмы защиты от отладки или другие ловушки кода, препятствующие деобфускации сценария.

Использование командной строки

 Usage: restringer input_filename [-h] [-c] [-q | -v] [-m M] [-o [output_filename]]

positional arguments:
	input_filename                  The obfuscated JS file

optional arguments:
	-h, --help                      Show this help message and exit.
	-c, --clean                     Remove dead nodes from script after deobfuscation is complete (unsafe).
	-q, --quiet                     Suppress output to stdout. Output result only to stdout if the -o option is not set.
									Does not go with the -v option.
	-m, --max-iterations M          Run at most M iterations
	-v, --verbose                   Show more debug messages while deobfuscating. Does not go with the -q option.
	-o, --output [output_filename]  Write deobfuscated script to output_filename. 
									<input_filename>-deob.js is used if no filename is provided.

Примеры:

Распечатайте деобфусцированный скрипт на стандартный вывод.
```
 restringer [target-file.js]
```
Сохраните деобфусцированный скрипт в файле output.js.
```
 restringer [target-file.js] -o output.js
```
Деобфусцировать и распечатать отладочную информацию.
```
 restringer [target-file.js] -v
```
Деобфусцируйте, не печатая ничего, кроме деобфусцированного вывода.
```
 restringer [target-file.js] -q
```

Использовать как модуль

 import { REstringer } from 'restringer' ;

const restringer = new REstringer ( '"RE" + "stringer"' ) ;
if ( restringer . deobfuscate ( ) ) {
  console . log ( restringer . script ) ;
} else {
  console . log ( 'Nothing was deobfuscated :/' ) ;
}
// Output: 'REstringer';

Создание пользовательских деобфускаторов

REstringer имеет высокую степень модульности. Он предоставляет модули, которые позволяют создавать собственные деобфускаторы, способные решать конкретные проблемы.

Базовая структура такого деобфускатора будет представлять собой массив модулей деобфускации (безопасных или небезопасных), запускаемых через служебную функцию flAST applyIteratively.

Небезопасные модули запускают код через eval (используя изолированную виртуальную машину для безопасности), а безопасные модули этого не делают.

 import { applyIteratively } from 'flast' ;
import { safe , unsafe } from 'restringer' ;
const { normalizeComputed } = safe ;
const { resolveDefiniteBinaryExpressions , resolveLocalCalls } = unsafe ;
let script = 'obfuscated JS here' ;
const deobModules = [
  resolveDefiniteBinaryExpressions ,
  resolveLocalCalls ,
  normalizeComputed ,
] ;
script = applyIteratively ( script , deobModules ) ;
console . log ( script ) ; // Deobfuscated script

С помощью дополнительного аргумента функции candidateFilter можно сузить целевые узлы:

 import { unsafe } from 'restringer' ;
const { resolveLocalCalls } = unsafe ;
import { applyIteratively } from 'flast' ;
let script = 'obfuscated JS here' ;

// It's better to define a function with a meaningful name that can show up in the log 
function resolveLocalCallsInGlobalScope ( arb ) {
  return resolveLocalCalls ( arb , n => n . parentNode ?. type === 'Program' ) ;
}
script = applyIteratively ( script , [ resolveLocalCallsInGlobalScope ] ) ;
console . log ( script ) ; // Deobfuscated script

Вы также можете настроить любой метод деобфускации, используя REstringer, не запуская цикл самостоятельно:

 import fs from 'node:fs' ;
import { REstringer } from 'restringer' ;

const inputFilename = process . argv [ 2 ] ;
const code = fs . readFileSync ( inputFilename , 'utf-8' ) ;
const res = new REstringer ( code ) ;

// res.logger.setLogLevelDebug();
res . detectObfuscationType = false ;  // Skip obfuscation type detection, including any pre and post processors

const targetFunc = res . unsafeMethods . find ( m => m . name === 'resolveLocalCalls' ) ;
let changes = 0 ;		// Resolve only the first 5 calls
res . safeMethods [ res . unsafeMethods . indexOf ( targetFunc ) ] = function customResolveLocalCalls ( n ) { return targetFunc ( n , ( ) => changes ++ < 5 ) }

res . deobfuscate ( ) ;

if ( res . script !== code ) {
  console . log ( '[+] Deob successful' ) ;
  fs . writeFileSync ( ` ${ inputFilename } -deob.js` , res . script , 'utf-8' ) ;
} else console . log ( '[-] Nothing deobfuscated :/' ) ;

Шаблонный код для запуска с нуля

 import { applyIteratively , logger } from 'flast' ;
// Optional loading from file
// import fs from 'node:fs';
// const inputFilename = process.argv[2] || 'target.js';
// const code = fs.readFileSync(inputFilename, 'utf-8');
const code = `(function() {
  function createMessage() {return 'Hello' + ' ' + 'there!';}
  function print(msg) {console.log(msg);}
  print(createMessage());
})();` ;

logger . setLogLevelDebug ( ) ;

/**
 * Replace specific strings with other strings
 * @param {Arborist} arb
 * @return {Arborist}
 */
function replaceSpecificLiterals ( arb ) {
	const replacements = {
        'Hello' : 'General' ,
        'there!' : 'Kenobi!' ,
    } ;
    // Iterate over only the relevant nodes by targeting specific types using the typeMap property on the root node
	const relevantNodes = [
		... ( arb . ast [ 0 ] . typeMap . Literal || [ ] ) ,
        // ...(arb.ast.typeMap.TemplateLiteral || []), // unnecessary for this example, but this is how to add more types
    ] ;
    for ( const n of relevantNodes ) {
        if ( replacements [ n . value ] ) {
          // dynamically define a replacement node by creating an object with a type and value properties
          // markNode(n) would delete the node, while markNode(n, {...}) would replace the node with the supplied node.
          arb . markNode ( n , { type : 'Literal' , value : replacements [ n . value ] } ) ;
        }
    }
  return arb ;
}

let script = code ;

script = applyIteratively ( script , [
  replaceSpecificLiterals ,
] ) ;

if ( code !== script ) {
  console . log ( script ) ;
  // fs.writeFileSync(inputFilename + '-deob.js', script, 'utf-8');
} else console . log ( `No changes` ) ;