某网站wasm md5逆向分析
目标网站:aHR0cHM6Ly93d3cuaXFpeWkuY29tL3ZfMXIxb2JoanRpNTguaHRtbA==
目标参数：&vf=
一扣代码
下一个xhr断点
往回找堆栈，发现核心部分在mmc里面，下个断点刷新跟进去
传入参数就是链接去头去尾，返回字符串长32
跟进去，看起来就一个简单的webpack
(window.iqiyiPlayerJSONPCallback = window.iqiyiPlayerJSONPCallback || []).push([[1], {
1089: function(module, exports, __webpack_require__) {
...............
},
576: function(x, a, e) {
var i;
i = function(x, a, i) {
var r = e(1089)
, c = null;
i.exports = {
setEngine: function(x) {
c = x
},
mmcd: r.mmcd,
mmc: function() {
var x = c && c.sbtr;
x && x.authkeyInvoking();
var a = r.mmc.apply(r, arguments);
return x && x.authkeyInvoked(),
a
}
}
}
}
}]);
关键函数就是1089里面的mmc，直接扣下来，因为没有依赖其他文件直接拿下来就行了，简单运行一下
结果就是不一样，说明很可能检测了环境，直接上v神插件
插件地址：https://github.com/cilame/v_jstools
检测了一些简单的东西
点击生成临时环境,复制到文件开头
根据报错修改代码
测试结果完全一致
算法还原
首先是一个简单的ob混淆,随便找个开源的就能还原
然后删除虚假分支，我用的蔡老板插件
然后删除无用代码，找大妈
从还原后的代码可以依稀看出来，是wasm,只不过并没有看到有wasm文件，它是直接编译成了asm.js
通常最简单的命令是
emcc main.cpp -s WASM=1 -o main.js
要想不输出wasm,而是转成asm.js.把WASM=1 改成WASM=0
除此之外，它还将异步加载改为了同步-s WASM_ASYNC_COMPILATION=0;
如果是异步加载，直接运行会报错
最常见的报错就是
TypeError: Cannot read properties of undefined (reading 'apply')
主要原因就是，异步加载asm没有赋值，也就是c导出函数与js没完成交互
既然是wasm,那么环境检测很可能不在wasm,而是在导入函数中，目前遇到的检测，有直接导入检测函数，有把eval导入，wasm里面存有部分检测代码，除此之外，由于go自带js的特殊性，给人一种感觉可以直接获取环境，实际上还是通过js交互的
目标网站就属于第一种导入函数
导入了很多函数，一个个分析发现，只要au返回6就行
function aU() {
return 6
}
测试和网站一样，基本准备工作就完成了
返回值是32位很可能是md5，搜索一下关键字
然后就没有然后了
还原是不可能还原的，这辈子都不可能的
从初始化的值没看出有什么魔改，找一份标准的md5，有很明显的特征，16*轮循环，把每次的case打印出来，简单画一个图
把出现16次的打印一下
import numpy as np
from matplotlib import pyplot as plt
from collections import Counter
from t import data
counts = Counter(data)
valid_data_points = {key for key, value in counts.items() if value == 16}
filtered_data = np.array([point for point in data if point in valid_data_points])
plt.plot(filtered_data)
plt.show()
很明显有4次16轮循环
101,80,25,-117,-98,96,88,17,
第一轮核心部分就这些
101
case 101: {
v = $x & ~Rx | Qx & Rx,
Ex = sa + -1 | 0,
s = 80,
Ex = Ex >> 2,
f = v,
ta = na,
v = (v + (Ux & -2) & -2 | Ux & 1) + (v & 1) | 0,
g = aa + ((ia | 0) % 16 | 0) | 0;
break
}
就对应着
(b & c) | ((~b) & d) 以及safe_add(a, q)
case 80: {
s = sa + 32 | 0,
s = (g | 0) > (s >> 2 | 0) ? 36 : 25;
break
}
case 25: {
s = (g | 0) > (Tx | 0) ? 136 : 139;
break
}
case -117: {
s = (g | 0) == (Tx | 0) ? 166 : 158;
break
}
case -98: {
s = (g | 0) > (Tx + 1 | 0) ? 83 : 96;}
case 96: {
s = 88,
f = c[G + (g << 2) >> 2] | 0;
break
}
看起来没啥用
case 88: {
Ex = ca + (ia << 3) | 0,
g = f >> 1,
g = _i64Add(c[Ex >> 2] | 0, c[Ex + 4 >> 2] | 0, _bitshift64Shl(g | 0, ((g | 0) < 0) << 31 >> 31 | 0, 1) | 0, w() | 0) | 0,
w() | 0,
g = (f & 1) + g | 0,
Ex = (g + (v & -2) & -2 | v & 1) + (g & 1) | 0,
f = ((ia | 0) % 4 | 0) * 5 | 0,
ta = f + 7 | 0,
f = 25 - f | 0,
f = Ex << ta | (f ? Ex >>> f : Ex),
s = 17,
Vx = $x,
Fx = (f + (Rx & -2) & -2 | Rx & 1) + (f & 1) | 0,
_x = Rx,
xa = Qx,
ra = ia + 1 | 0,
ma = ka;
break
}
88就是最核心的了，看不懂不重要，其中f就是加密的数据，保存下来跑一下
添加一个日志点，保存数据
from Crypto.Util.number import long_to_bytes
d = [1935762479, 1819557736, ''']
datas = b""
for i in d:
datas += long_to_bytes(i)[::-1]
print(datas)
去除填充转成字符串，随便找个在线网站试一下，很好说明只是加盐了，只是加的有一点点离谱
总结
总的来说，相对还是不难，比某迅的vmp加wasm简单一点，环境监测有但不多，有混淆相当于没有(蔡老板yyds)，主要是控制流烦人，我这里取巧了，大佬们直接还原就行了
除此之外，app，TV端用的应该是同一套代码还原基本一致，trace代码，找到添加数据位置，拿出来就行了，只是TV端同一个src可能有
两个盐，主要是qd_v不一样。
bj.7z
(1.3 MB, 下载次数: 143)
[复制链接]
发表于 2023-9-21 22:49
发表于 2023-9-22 11:03
