🈚️ 🗃️ 💇🏽 हम बॉट से सुरक्षा के माध्यम से तोड़ते हैं 📘 🙎🏻 👨‍❤️‍👨

हाल ही में, कई विदेशी साइटों पर अव्यवस्था दिखाई देने लगी है - एक प्रणाली जो साइट की सुरक्षा, कार्य की गति और एक ही समय में सॉफ़्टवेयर डेवलपर्स के जीवन को बहुत जटिल करती है। इस प्रणाली का सार जावास्क्रिप्ट का उपयोग करके व्यापक सुरक्षा है, जो, वैसे, कई डीडीओएस बॉट्स ने क्लाउडफ़्लारे को निष्पादित करना और यहां तक कि बाईपास करना सीख लिया है। आज हम incapsula का अध्ययन करेंगे, एक JS script deobfuscator लिखेंगे और अपने ~~DDOS~~ बॉट को इसके चारों ओर पढ़ाना सिखाएँगे!

नीचे दिए गए स्क्रीनशॉट में साइट को एक लेख के लिए एक अच्छा उदाहरण के रूप में लिया गया है, दूसरों से अलग नहीं है, संदिग्ध विषयों के मंचों पर, कई इसके लिए जानवर की तलाश कर रहे हैं, लेकिन मेरे पास एक और काम है - साइटों के साथ विभिन्न कार्यों को स्वचालित करने के लिए सॉफ़्टवेयर।

आइए प्रश्नों की जांच शुरू करें, उनमें से केवल 2 हैं, और यहां पहला है:

यह अनुरोध एक स्क्रिप्ट को लोड करता है जो स्वाभाविक रूप से बाधित है:

Document.write () के लिए eval बदलना थोड़ा अधिक पठनीय कोड देता है:

मुझे नहीं पता कि क्यों, लेकिन आउटपुट कोड को प्रारूपित करने के लिए स्वचालित उपकरण इस कोड को तोड़ते हैं, इसलिए मुझे इसे अपने हाथों से प्रारूपित करना था और चर को सामान्य नाम देना था। इन सभी जोड़तोड़ों के लिए मैंने एक साधारण नोटपैड ++ और एक टेक्स्ट रिप्लेसमेंट फंक्शन का उपयोग किया, जिसके परिणामस्वरूप हम आगे बढ़ सकते हैं और पहले नंबर की जांच कर सकते हैं:

var _0x3a59=['wpgXPQ==','cVjDjw==','Tk/DrFl/','GMOMd8K2w4jCpw==','wpkwwpE=','w6zDmmrClMKVHA==', ... ,'w4w+w5MGBQI=','w6TDr8Obw6TDlTJQaQ=='];

यह एक सरणी है जिसमें एन्क्रिप्टेड फ़ंक्शन नाम और अन्य स्ट्रिंग्स शामिल हैं, इसलिए हमें एक फ़ंक्शन की तलाश करनी होगी जो इस सरणी को डिक्रिप्ट करता है, बहुत दूर जाने की आवश्यकता नहीं है:

अवज्ञा संहिता

 var Decrypt=function(base64_Encoded_Param,Key_Param){ var CounterArray=[], CRC=0x0, TempVar, result='', EncodedSTR=''; base64_Encoded_Param=atob(base64_Encoded_Param); for(var n=0,input_length=base64_Encoded_Param.length;n<input_length;n++){ EncodedSTR+='%'+('00'+base64_Encoded_Param.charCodeAt(n).toString(0x10)).slice(-0x2); } base64_Encoded_Param=decodeURIComponent(EncodedSTR); for(var n=0x0;n<0x100;n++){ CounterArray[n]=n; } for(n=0x0;n<0x100;n++){ CRC=(CRC+CounterArray[n]+Key_Param.charCodeAt(n%Key_Param.length))%0x100; TempVar=CounterArray[n]; CounterArray[n]=CounterArray[CRC]; CounterArray[CRC]=TempVar; } n=0x0; CRC=0x0; for(var i=0x0;i<base64_Encoded_Param.length;i++){ n=(n+0x1)%0x100; CRC=(CRC+CounterArray[n])%0x100; TempVar=CounterArray[n]; CounterArray[n]=CounterArray[CRC]; CounterArray[CRC]=TempVar; result+=String.fromCharCode(base64_Encoded_Param.charCodeAt(i)^CounterArray[(CounterArray[n]+CounterArray[CRC])%0x100]); } return result; };

यदि हम इसे अलग से कहते हैं:

 ParamDecryptor('0x0', '0Et]')

वह नतीजा वही होगा जो हमने उम्मीद किया था। और सब कुछ एक और समारोह के लिए दोष है:

 var shift_array=function(number_of_shifts){ while(--number_of_shifts){ EncodedParams['push'](EncodedParams['shift']()); } };

जो एक बहुत ही अप्रत्याशित स्थान पर है - एक फ़ंक्शन में जिसे बहुत शुरुआत में कहा जाता है और कुकीज़ की जांच करता है। जाहिर है, डेवलपर्स इस प्रकार कुकी चेक को काटे जाने से बचाते हैं। जैसा कि आप देख सकते हैं - कुछ भी जटिल नहीं है, लूप केवल तत्वों की निर्दिष्ट संख्या से सरणी को स्थानांतरित करता है, हमारे मामले में 223 तत्व। यह जादू नंबर 223 कहां से आता है? मैंने इस नंबर को कुकी सत्यापन कार्य के लिए कॉल से लिया था, यह वहाँ 0xdf जैसा दिखता है और इस मार्ग पर जाता है:

 //  function(EncodedParams,EncodedParamsShifts); //  (AllParams,0xdf); //0xdf => 223 //    var _0x5e622e=function(_0x486a40,_0x1de600){_0x486a40(++_0x1de600);}; _0x5e622e(shift_array,EncodedParamsShifts); //     : shift_array(++EncodedParamsShifts);

स्वाभाविक रूप से, यह हर बार बदलता है, कौन संदेह करेगा ...

अब जो कुछ बचा है वह सभी कॉल को बदलना है

 var _0x85e545=this[ParamDecryptor('0x0', '0Et]')];

पर

 var _0x85e545=this['window'];

या, बेहतर अभी तक, पर

 var ThisWindow=this.window;

मैंने अंतिम रूपांतरण को नियमित रूप से नियमित किया। अरे हाँ, वे पूरी तरह से निम्नलिखित पंक्तियाँ देना भूल गए:

\x77\x6f\x4a\x33\x58\x68\x6b\x59\x77\x34\x44\x44\x6e\x78\x64\x70

सामान्य देखने के लिए। कुछ भी जटिल नहीं है, यह एक नियमित UrlEncode है,% के लिए \ x बदलें और निम्नलिखित पंक्ति प्राप्त करने के लिए डीकोड करें:

woJ3XhkYw4DDnxdp

फिर मैंने सभी कॉल को बदलना शुरू कर दिया

 ParamDecryptor('0x0', '0Et]')

मेरे मॉड्यूल से एक स्व-लिखित फ़ंक्शन का उपयोग करके पहले से ही डीक्रिप्ट की गई लाइनें। हां, कोड सुंदरता के साथ चमक नहीं रहा था, समय सीमाएं जल रही थीं (जैसा कि आमतौर पर कल की आवश्यकता थी) और यह सोचना बहुत आलसी था ~~क्योंकि मैं माउस के साथ कार्यक्रम~~ करता था, हालांकि, यह ठीक काम करता है:

मैंने लगभग 1v1 स्रोत से कोड फिर से लिखा है।

अगला, कोड को बाधित करने के लिए एक और विधि ने मेरी आंख को पकड़ लिया। मुझे एक बहुत बड़े समारोह को लिखना पड़ा जो इस तरह के कॉल के लिए खोज करता है:

 case'7':while(_0x30fe16["XNg"](_0x13d8ee,_0x5a370d))

और उन्हें सरल एनालॉग्स के साथ प्रतिस्थापित करना:

महान सुविधा सूची

 var _0x30fe16={ 'XNg':function _0x19aabd(_0x425e3c,_0x481cd6){return _0x425e3c<_0x481cd6;}, 'sUd':function _0x320363(_0xa24206,_0x49d66b){return _0xa24206&_0x49d66b;}, 'wMk':function _0x32974a(_0x2cdcf4,_0x250e85){return _0x2cdcf4>>_0x250e85;}, 'FnU':function _0x22ce98(_0x2f5577,_0x4feea7){return _0x2f5577<<_0x4feea7;}, 'mTe':function _0x35a8bc(_0x11fecf,_0x29718e){return _0x11fecf&_0x29718e;}, 'doo':function _0x5ce08b(_0x4e5976,_0x4757ea){return _0x4e5976>>_0x4757ea;}, 'vmP':function _0x5d415c(_0x39dc96,_0x59022e){return _0x39dc96<<_0x59022e;}, 'bGL':function _0xd49b(_0x7e8c9f,_0x301346){return _0x7e8c9f|_0x301346;}, 'rXw':function _0x4dfb4d(_0x39d33a,_0x36fd1e){return _0x39d33a<<_0x36fd1e;}, 'svD':function _0x387610(_0x3cd4f7,_0x58fd9e){return _0x3cd4f7&_0x58fd9e;}, 'cuj':function _0x472c54(_0x4e473a,_0x26f3fd){return _0x4e473a==_0x26f3fd;}, 'OrY':function _0x3c6e85(_0x445d0b,_0x1caacf){return _0x445d0b|_0x1caacf;}, 'AKn':function _0x4dac5b(_0x521c05,_0x27b6bd){return _0x521c05>>_0x27b6bd;}, 'gtj':function _0x5416f0(_0x3e0965,_0x560062){return _0x3e0965&_0x560062;} };

पाने के लिए:

 case'7':while(_0x13d8ee < _0x5a370d){

कार्य की एल्गोरिथ्म बहुत सरल है, वास्तव में, हम सिर्फ चर को प्रतिस्थापित करते हैं:

हम अपने मामले में सरणी का नाम पाते हैं: _0x30fe16
पारसीम इनपुट पैरामीटर्स: _0x425e3c, _0x481cd6
परसिम फंक्शन बॉडी: _0x425e3c <_0x481cd6
_0x425e3c को _0x13d8ee से बदलें
_0x481cd6 को _0x5a370d से बदलें
हमें मिलता है : _0x13d8ee <_0x5a370d
उपरोक्त कोड पर _0x30fe16.XNg (_0x13d8ee, _0x5a370d) बदलें
कार्य समाप्त होने तक दोहराएं

फ़ंक्शन के नाम, मापदंडों और शरीर को पार्स करना एक नियमित रूप से किया जाता है। बेशक, मॉड्यूल के अंतिम संस्करण में इस पद्धति की विशेष रूप से आवश्यकता नहीं है, केवल 1 कॉल है जो थोड़ा अधिक मोटे है, लेकिन ग्राहक ने सब कुछ करने के लिए कहा और इसलिए इसे किया, इसके अलावा, अन्य फ़ंक्शन भी अधिक स्पष्ट हो गए। अन्य साइटों पर भी ऐसे डिजाइन हैं:

बड़ा और बुरा कोड दिखाएं

 var _0x4dc9f4 = { 'NTSjj': _0x3d6e1f.dEVDh, 'tZeHx': function(_0x2a40cd, _0x2faf22) { return _0x3d6e1f.JIehC(_0x2a40cd, _0x2faf22); }, 'ocgoO': "https://site/login", 'WmiOO': _0x3d6e1f.vsCuf }; //    ,      : var _0x3d6e1f = { 'dEVDh': "4|0|2|3|5|1", 'JIehC': function(_0x34757f, _0xd344e8) { return _0x34757f != _0xd344e8; }, 'vsCuf': ".countdownGroup", 'awUzV': function(_0x4b3914, _0x1f9e41) { return _0x4b3914 === _0x1f9e41; }, 'smOkd': "NSpHE", 'bvCub': function(_0x208c1d, _0x160d32) { return _0x208c1d(_0x160d32); }, 'PmBNl': function(_0x33524f, _0x29b35a) { return _0x33524f(_0x29b35a); }, 'Fhbrr': "#stopBtn", 'Vkpkf': function(_0x2de6ac, _0x31bb8b) { return _0x2de6ac + _0x31bb8b; }, 'HbSaV': function(_0x429822, _0x1a46e9) { return _0x429822 + _0x1a46e9; }, 'UsdKM': "https://site/register", 'JCXqh': "Timer started. ", 'GBXqx': function(_0x18f912, _0x5829b5) { return _0x18f912 / _0x5829b5; }, 'sSdZf': function(_0x45f64c, _0x152cb4) { return _0x45f64c(_0x152cb4); }, 'AAmKj': ".countdownTimer" };

जैसा कि आप यहां देख सकते हैं, एक सरणी से एक पैरामीटर दूसरे को संदर्भित करता है। मैंने इस समस्या को सरलता से हल किया:

परसिम सब ऐरा
हम उन्हें कोड से साफ करते हैं
सभी तत्वों को एक सहयोगी सरणी (नाम, मान) में कॉपी करें
एक पुनरावर्ती खोज के द्वारा एक लूप में, हम सभी नेस्टेड कार्यों की तलाश करते हैं
नेस्टेड कार्यों को उनके द्वारा किए जाने वाले कार्यों से बदलें
उसी तरह से तार के सभी लिंक का विस्तार करें

इस डिओबसकेशन विधि को लागू करने के बाद, कोड थोड़ा कम भ्रमित हो गया। आप तुरंत बेस 64 फ़ंक्शन को दो तरीकों से नोटिस कर सकते हैं। पहला एक:

 CharArray="ABCDE...XYZabcde...xyz0123456789+/";

और दूसरा एक:

 if(!window["btoa"])window["btoa"]=_0x386a89;

कुकीज़ के साथ काम करने वाले फ़ंक्शन को आप अब रिवर्स नहीं कर सकते हैं और अन्य, अधिक महत्वपूर्ण कार्यों या अधिक सटीक हो सकते हैं। मैंने इसे लाइन incap_ses_ पर पाया और एक और ऑबफ्यूजेशन चिप देखा - कोड अपोजिशन लूप्स का उपयोग करते हुए:

कोड दिखाएं

 var _0x290283="4|2|5|0|3|1"["split"]('|'), _0x290611=0x0; while(!![]){ switch(_0x290283[_0x290611++]){ case'0':for(var n=0x0;n<CookieArray["length"];n++){ var _0x27e53a=CookieArray[n]["substr"](0x0,CookieArray[n]["indexOf"]('=')); var _0x4b4644=CookieArray[n]["substr"](CookieArray[n]["indexOf"]('=')+0x1,CookieArray[n]["length"]); if(_0x5ebd6a["test"](_0x27e53a)){ResultCookieArray[ResultCookieArray["length"]]=_0x4b4644;} } continue; case'1':return ResultCookieArray;continue; case'2':var _0x5ebd6a=new this.window.RegExp("^\s?incap_ses_");continue; case'3':_0x4d5690();continue; case'4':var ResultCookieArray=new this.window.Array();continue; case'5':var CookieArray=this.window.document.cookie["split"](';');continue; } break; }

यहां सब कुछ बहुत सरल है: हम निष्पादन के क्रम के अनुसार लाइनों को फिर से व्यवस्थित करते हैं: 4 | 2 | 5 | 5 | 0 | 3 | 1 और मूल कार्य प्राप्त करें। अंतिम संस्करण में deobfuscation की इस पद्धति की भी आवश्यकता नहीं है, लेकिन यह बड़ी समस्याओं का कारण नहीं बना, सब कुछ प्राथमिक रूप से पार्स है, इस पर विचार करने के लिए मुख्य बात यह है कि नेस्टेड लूप हो सकते हैं और इसलिए मैंने बस एक पुनरावर्ती खोज की।

कुकीज़ समारोह

 var _0x30fe16={ function _0x2829d5(){ var ResultCookieArray=new this.window.Array(); var _0x5ebd6a=new this.window.RegExp("^\s?incap_ses_"); var CookieArray=this.window.document.cookie["split"](';'); for(var n=0x0;n<CookieArray["length"];n++){ var _0x27e53a=CookieArray[n]["substr"](0x0,CookieArray[n]["indexOf"]('=')); var _0x4b4644=CookieArray[n]["substr"](CookieArray[n]["indexOf"]('=')+0x1,CookieArray[n]["length"]); if(_0x5ebd6a["test"](_0x27e53a)){ResultCookieArray[ResultCookieArray["length"]]=_0x4b4644;} } _0x4d5690(); return ResultCookieArray; }

यह बस सभी कुकीज़ के मूल्यों को संग्रहीत करता है जो एक सरणी में incap_ses_ से शुरू होता है और फिर एक और विधि उनके चेकसम की गणना केवल ASCII कोड द्वारा की जाती है:

कोड दिखाएं

 function TIncapsula.CharCRC(text: string): string; var i, crc:integer; begin crc:=0; for i:=1 to Length(text) do crc:=crc+ord(text[i]); result:=IntToStr(crc); end; function TIncapsula.GetCookieDigest: string; var i:integer; res:string; begin res:=''; for i:=0 to FCookies.Count-1 do begin if res='' then res:=CharCRC(browserinfo+FCookies[i]) else res:=res+','+CharCRC(browserinfo+FCookies[i]); end; result:=res; end;

हमें थोड़ा आगे एक चेकसम की आवश्यकता होगी, और अब यह पता करें कि यह किस प्रकार का फ़ंक्शन है _0x4d5690 जिसे विभिन्न स्थानों पर कहा जाता है। ऐसा करने के लिए, बस बुलाए गए तरीकों को देखें और उन्हें उपयुक्त नाम दें:

 function CheckDebugger(){ if(new this.window.Date()["getTime"]() - RunTime) > 0x1f4){ FuckDebugger(); } }

इस लिपि के लेखक बहुत भोले हैं :)

एक और महत्वपूर्ण बिंदु:

 ParamDecryptor('0x65', '\x55\xa9\xf9\x1c\x1a\xd5\xfc\x60') //result = "ca3XP6zjTSB3w3gEwMl6lqgsdEVDTV9aF4rEDQ==";

यहां से हमें पहले 5 अक्षरों की आवश्यकता है: ca3XP , मैं आपको बताऊंगा कि नीचे क्यों। और याद रखें, हम कुकी मान से चेकसम की गणना कर रहे थे? अब हमें तथाकथित हैश प्राप्त करने की आवश्यकता है।

हैश फंक्शन

 function TIncapsula.GetDigestHash(Digest: string): string; var i:integer; CookieDigest, res:string; begin CookieDigest:=GetCookieDigest; //85530,85722 res:=''; for i:=0 to Length(Digest)-1 do begin res:=res+IntToHex(ord(Digest[i+1]) + ord(CookieDigest[i mod Length(CookieDigest)+1]),1); end; result:=res; end;

तुलना:

बहुत बढ़िया! अंतिम चरण रहता है - प्रतिक्रिया के लिए कुकीज़ प्राप्त करना:

 ResCooka=((((ParamDecryptor(btoa(PluginsInfo),"ca3XP")+",digest=")+DigestArray)+",s=")+AllDigestHash); Set_Cookies("___utmvc",btoa(ResCooka),0x14);

शुरुआत में मूल कोड ने ब्राउज़र के मापदंडों को आधार64 में स्थानांतरित कर दिया और स्थानांतरित AllParams सरणी के अंत में, "एन्क्रिप्ट किया गया" उन्हें ca3XP कुंजी के साथ ParamDecryptor फ़ंक्शन के साथ जोड़ा और फिर पहले जोड़े गए तत्व को हटा दिया। मैं यह मान सकता हूं कि यह बैसाखी एक छोटी सी विशेषता के कारण बनाई गई थी: पैरामैडिक्रेक्टर फ़ंक्शन सरणी और कुंजी में तत्व के सूचकांक को स्वीकार करता है, जिसका अर्थ है कि आप केवल सरणी के माध्यम से स्ट्रिंग पास कर सकते हैं। क्यों ठीक है ना? प्रोग्रामर, सर।

खैर, वास्तव में सब कुछ, कुकी तैयार है, यह इसे स्थापित करने और अनुरोध भेजने के लिए बनी हुई है। सच है, आप इसे एक छोटे से विवरण के कारण स्वीकार नहीं करेंगे, जिसके बारे में मैं चुप रहना पसंद करता हूं।

अनुकूलन

डेल्फी में कोड के टुकड़े सिर्फ एक प्रोटोटाइप है। ग्राहक आवश्यकताओं की वजह से असेंबलर में सभी कोड को फिर से लिखा गया और इसकी निष्पादन गति कई गुना बढ़ गई। निम्नलिखित का भी गति पर सकारात्मक प्रभाव पड़ा:

लूप के एक पुनरावृत्ति में कोड और सरणियों के अतिरिक्त टुकड़े काटना। कोड की मात्रा को कम करने और भविष्य में खोज को गति देने के लिए यह आवश्यक है।
चूंकि कोड में फ़ंक्शन मिश्रित नहीं हैं, इसलिए हम उनके अनुमानित स्थान को जानते हैं, इसलिए, अगर कुकी इंस्टॉलेशन फ़ंक्शन बहुत अंत में है, तो आपको इसे कम से कम मध्य से देखने की आवश्यकता है।
अग्रिम में प्रमुख विशेषताओं के लिए खोजें। कोडर एल्गोरिथ्म अनावश्यक कचरा से कोड को साफ करने के समय भी उनके लिए खोज करता है।
अंतिम संस्करण में, मुझे उस काम के बारे में आधे से छुटकारा मिल गया जो कोड को समझने के लिए आवश्यक थे और बॉट के लिए आवश्यक नहीं थे क्योंकि आवश्यक मापदंडों को समस्याओं के बिना मिला था।

निष्कर्ष

जब मैं साइट पर जाता हूं, तो मैं चाहता हूं कि यह जल्दी से काम करे, और इस पद्धति का उपयोग करके जेएस लिपियों को बाधित करना उपयोगकर्ता के लिए अपमानजनक है। क्या यह बॉट्स से बचाने में मदद करता है? नहीं, निश्चित रूप से, जैसा कि आप देख सकते हैं, यह शाम को सचमुच खर्च होता है, और केवल कुछ सैंडविच और कुछ कप चाय की लागत होती है।

इस लेख का उद्देश्य इस समाधान के संचालन के सिद्धांत के बारे में बात करना है और यह दिखाना है कि यह कितना बेकार है। स्पष्ट कारणों के लिए, इस सुरक्षा को बायपास करने के लिए तैयार मॉड्यूल प्रकाशित नहीं किया जाएगा (इसके रिसाव के बाद, एक्माई में खराब गेम-स्टॉप को बंद कर दिया गया), जिन्हें इस अध्ययन के आधार पर खुद करना होगा (जो लगभग एक साल पहले किया गया था और अभी भी प्रासंगिक है), और छात्र जो चाहते हैं अन्य लोगों के खाते जंगल में जाने के लिए। यदि आपके कोई प्रश्न हैं, तो मैं उन्हें टिप्पणियों में उत्तर देने के लिए हमेशा तैयार हूं।

हम बॉट से सुरक्षा के माध्यम से तोड़ते हैं

अनुकूलन

निष्कर्ष

More articles: