Nous brisons la protection contre les bots

Récemment, des incapsules ont commencé à apparaître sur de nombreux sites étrangers - un système qui augmente la sécurité du site, la vitesse et en même temps complique considérablement la vie des développeurs de logiciels. L'essence de ce système est une protection complète à l'aide de JavaScript, qui, soit dit en passant, de nombreux robots DDOS ont déjà appris à exécuter et même à contourner CloudFlare. Aujourd'hui, nous étudierons l'incapsule, rédigerons un désobfuscateur de script JS et enseignerons à notre bot DDOS comment le contourner!

Le site dans la capture d'écran ci-dessous est pris comme un bon exemple pour un article, ne diffère pas des autres, sur les forums de sujets douteux, beaucoup recherchent des brutes pour cela, mais j'ai une autre tâche - un logiciel pour automatiser diverses actions avec les sites.

Commençons par examiner les requêtes, car il n'y en a que 2, et voici la première:



Cette requête charge un script naturellement obscurci:



Changer eval en document.write () donne un code légèrement plus lisible:



Je ne sais pas pourquoi, mais les outils automatiques de formatage du code de sortie cassent ce code, j'ai donc dû le formater avec mes mains et donner aux variables des noms normaux. Pour toutes ces manipulations, j'ai utilisé un simple bloc-notes ++ et une fonction de remplacement de texte.Par conséquent, nous pouvons continuer et examiner la première ligne:

var _0x3a59=['wpgXPQ==','cVjDjw==','Tk/DrFl/','GMOMd8K2w4jCpw==','wpkwwpE=','w6zDmmrClMKVHA==', ... ,'w4w+w5MGBQI=','w6TDr8Obw6TDlTJQaQ==']; 

Il s'agit d'un tableau qui contient des noms de fonction chiffrés et d'autres chaînes, nous devons donc rechercher une fonction qui déchiffre ce tableau, pas besoin d'aller loin:


Si nous l'appelons séparément:

 ParamDecryptor('0x0', '0Et]') 

Ce résultat sera loin de ce que nous attendions. Et tout est à blâmer pour une autre fonction:

 var shift_array=function(number_of_shifts){ while(--number_of_shifts){ EncodedParams['push'](EncodedParams['shift']()); } }; 

Ce qui est dans un endroit très inattendu - dans une fonction qui est appelée au tout début et vérifie les cookies. Apparemment, les développeurs ont ainsi «protégé» la suppression du contrôle des cookies. Comme vous pouvez le voir - rien de compliqué, la boucle décale simplement le tableau du nombre spécifié d'éléments, dans notre cas 223 éléments. D'où vient ce nombre magique 223? J'ai pris ce numéro d'un appel à la fonction de vérification des cookies, il ressemble à 0xdf et suit cette route:

 //  function(EncodedParams,EncodedParamsShifts); //  (AllParams,0xdf); //0xdf => 223 //    var _0x5e622e=function(_0x486a40,_0x1de600){_0x486a40(++_0x1de600);}; _0x5e622e(shift_array,EncodedParamsShifts); //     : shift_array(++EncodedParamsShifts); 

Naturellement, cela change à chaque fois, qui en douterait ...

Il ne reste plus qu'à remplacer tous les appels

 var _0x85e545=this[ParamDecryptor('0x0', '0Et]')]; 

sur

 var _0x85e545=this['window']; 

Ou, mieux encore, sur

 var ThisWindow=this.window; 

J'ai fait la dernière conversion en tant que régulier régulier. Oh oui, ils ont complètement oublié de donner les lignes suivantes:

\x77\x6f\x4a\x33\x58\x68\x6b\x59\x77\x34\x44\x44\x6e\x78\x64\x70

En vue normale. Il n'y a rien de compliqué, c'est un UrlEncode normal, changez \ x en% et décodez pour obtenir la ligne suivante:

woJ3XhkYw4DDnxdp

Puis j'ai commencé à remplacer tous les appels ala

 ParamDecryptor('0x0', '0Et]') 

aux lignes déjà déchiffrées en utilisant une fonction auto-écrite de mon module. Oui, le code ne brille pas de beauté, les délais brûlaient (comme c'était généralement le cas hier) et j'étais trop paresseux pour penser parce que j'avais l'habitude de programmer avec la souris , néanmoins, ça marche bien:



J'ai réécrit le code de la source presque 1v1.

Ensuite, une autre méthode pour brouiller le code a attiré mon attention. J'ai dû écrire une fonction assez grande qui recherche de tels appels:

 case'7':while(_0x30fe16["XNg"](_0x13d8ee,_0x5a370d)) 

Et en les remplaçant par des analogues plus simples:


Pour obtenir:

 case'7':while(_0x13d8ee < _0x5a370d){ 

L'algorithme de travail est terriblement simple, en fait, nous substituons juste les variables:

1. On retrouve le nom du tableau, dans notre cas: _0x30fe16
2. Paramètres d'entrée Parsim: _0x425e3c, _0x481cd6
3. Corps de la fonction Parsim: _0x425e3c <_0x481cd6
4. Remplacez _0x425e3c par _0x13d8ee
5. Remplacez _0x481cd6 par _0x5a370d
6. Nous obtenons : _0x13d8ee <_0x5a370d
7. Remplacez _0x30fe16.XNg (_0x13d8ee, _0x5a370d) par le code ci-dessus
8. Répéter jusqu'à la fin des fonctions

L'analyse du nom, des paramètres et du corps de la fonction est effectuée par une personne régulière. Bien sûr, dans la version finale du module, cette méthode n'est pas particulièrement nécessaire, il n'y a qu'un seul appel qui est légèrement plus obscurci, mais le client a dit de tout faire et donc l'a fait, en plus, d'autres fonctions sont également devenues plus claires. Sur d'autres sites, il existe également de tels modèles:


Comme vous pouvez le voir ici, un paramètre d'un tableau se réfère à un autre. J'ai résolu ce problème simplement:

1. Analyser tous les tableaux
2. Nous les nettoyons du code
3. Copiez tous les éléments dans un tableau associatif (nom, valeur)
4. Dans une boucle par une recherche récursive, nous recherchons toutes les fonctions imbriquées
5. Remplacer les fonctions imbriquées par les actions qu'elles font
6. Développez tous les liens vers les chaînes de la même manière

Après avoir appliqué cette méthode de désobfuscation, le code est devenu un peu moins déroutant. Vous pouvez immédiatement remarquer la fonction base64 de deux manières. Premier:

 CharArray="ABCDE...XYZabcde...xyz0123456789+/"; 

Et le second:

 if(!window["btoa"])window["btoa"]=_0x386a89; 

Vous ne pouvez plus inverser et passer à d'autres fonctions plus importantes ou, pour être plus précis, à une fonction qui fonctionne avec les cookies. Je l'ai trouvé sur la ligne incap_ses_ et j'ai remarqué une autre puce d'obfuscation - obfuscation de code à l'aide de boucles:


Ici, tout est très simple: nous réorganisons les lignes selon l'ordre d'exécution: 4 | 2 | 5 | 0 | 3 | 1 et obtenons la fonction d'origine. Cette méthode de désobfuscation n'est également pas nécessaire dans la version finale, mais elle n'a pas causé de gros problèmes, tout est analysé de manière élémentaire, la principale chose à considérer est qu'il peut y avoir des boucles imbriquées et donc je viens de faire une recherche récursive.


Il stocke simplement les valeurs de tous les cookies qui commencent par incap_ses_ dans un tableau , puis une autre méthode calcule leur somme de contrôle simplement en additionnant les codes ASCII:


Nous aurons besoin d'une somme de contrôle un peu plus loin, et voyons maintenant quel type de fonction ce _0x4d5690 est appelé à partir de différents endroits. Pour ce faire, il suffit de regarder les méthodes appelées et de leur attribuer les noms appropriés:

 function CheckDebugger(){ if(new this.window.Date()["getTime"]() - RunTime) > 0x1f4){ FuckDebugger(); } } 

L'auteur de ce script est très naïf :)

Un autre point important:

 ParamDecryptor('0x65', '\x55\xa9\xf9\x1c\x1a\xd5\xfc\x60') //result = "ca3XP6zjTSB3w3gEwMl6lqgsdEVDTV9aF4rEDQ=="; 

De là, nous avons besoin des 5 premières lettres: ca3XP , je vais vous expliquer pourquoi ci-dessous. Et rappelez-vous, nous calculions les sommes de contrôle à partir des valeurs des cookies? Maintenant, nous en avons besoin pour obtenir le soi-disant hachage.


Comparez:



Super! La dernière étape reste - recevoir des cookies pour la réponse:

 ResCooka=((((ParamDecryptor(btoa(PluginsInfo),"ca3XP")+",digest=")+DigestArray)+",s=")+AllDigestHash); Set_Cookies("___utmvc",btoa(ResCooka),0x14); 

Le code d'origine au début a ajouté les paramètres du navigateur encodés en base64 à la fin du tableau AllParams décalé, les a «chiffrés» avec la fonction ParamDecryptor avec la clé ca3XP , puis supprimé l'élément ajouté précédemment. Je peux supposer que cette béquille a été faite à cause d'une petite fonctionnalité: la fonction ParamDecryptor accepte l'index de l'élément dans le tableau et la clé, ce qui signifie que vous ne pouvez y transférer la chaîne que via le tableau. Pourquoi ne pas le faire correctement? Programmeurs, monsieur.

Eh bien, en fait tout, le cookie est prêt, il reste à l'installer et à envoyer une demande. Certes, vous ne l'accepterez pas à cause d'un petit détail sur lequel je préfère rester silencieux.

Optimisation

Des morceaux de code dans Delphi ne sont qu'un prototype. Tout le code du désobfuscateur a été réécrit dans l'assembleur en raison des exigences du client et sa vitesse d'exécution a été augmentée plusieurs fois. Les éléments suivants ont également eu un effet positif sur la vitesse:

1. Couper les morceaux de code et les tableaux en excès en une seule itération de la boucle. Cela est nécessaire pour réduire considérablement la quantité de code et accélérer la recherche à l'avenir.
2. Étant donné que les fonctions du code ne sont pas mixtes, nous connaissons leur emplacement approximatif.Par conséquent, si la fonction d'installation des cookies est à la toute fin, vous devez la rechercher au moins à partir du milieu.
3. Recherchez à l'avance les fonctionnalités clés. L'algorithme assembleur les recherche même au moment de nettoyer le code des ordures inutiles.
4. Dans la version finale, je me suis débarrassé d'environ la moitié des fonctions du déobfuscateur qui étaient nécessaires pour comprendre le code et qui n'étaient pas nécessaires pour le bot car les paramètres nécessaires se sont déroulés sans problème

Conclusion

Lorsque je visite le site, je souhaite qu'il fonctionne rapidement et que le brouillage des scripts JS à l'aide de cette méthode est irrespectueux pour l'utilisateur. Est-ce que cela aide à protéger contre les robots? Non, bien sûr, comme vous pouvez le voir, cela coûte littéralement au cours de la soirée, et seulement quelques sandwichs et quelques tasses de thé sont le coût.

Le but de cet article est de parler du principe de fonctionnement de cette solution et de montrer à quel point elle est inutile. Pour des raisons évidentes, un module prêt à l'emploi pour contourner cette protection ne sera pas publié (après sa fuite, le pauvre game-stop est passé à akamai), qui doit le faire lui-même sur la base de cette étude (qui a été réalisée il y a environ un an et qui est toujours d'actualité), et les étudiants qui le souhaitent pour tordre les comptes des autres, allez dans la forêt. Si vous avez des questions, je suis toujours prêt à y répondre dans les commentaires.