{"draftJsState":{"blocks":[{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"2tb73"},{"data":{"image":{"id":"5d7dd0771d656a00ad27e0af"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\n","type":"atomic:image","key":"alrs3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":9,"offset":63,"style":"BOLD"}],"text":"В последнее время на многих зарубежных сайтах стала появляться incapsula— система которая повышает защищённость сайта, скорость работы и при этом очень усложняет жизнь разработчикам программного обеспечения. Суть данной системы — комплексная защита с использованием JavaScript, который, к слову, многие DDOS боты уже научились выполнять и даже обходить CloudFlare. Сегодня мы изучим incapsula, напишем деобфускатор JS скрипта и научим своего DDOS бота обходить её!\n\nСайт на скриншоте ниже взят в качестве хорошего примера для статьи, ничем от других не отличается, на форумах сомнительной тематики многие ищут под него бруты, однако у меня другая задача — ПО для автоматизации различных действий с сайтами.\n","type":"unstyled","key":"enqmv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Начнём с изучения запросов, благо их всего 2 и вот первый:\n","type":"unstyled","key":"br461"},{"data":{"image":{"id":"5d7dd077fc69ab0117822c5f"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\n","type":"atomic:image","key":"3eke8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Этот запрос загружает скрипт который естественно обфусцирован:\n","type":"unstyled","key":"fivv0"},{"data":{"image":{"id":"5d7dd077e4f39f00ae5d013d"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\n","type":"atomic:image","key":"6uv1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":16,"offset":16,"style":"BOLD"}],"text":"Изменив eval на document.write() мы получаем чуть более читабельный код: \n","type":"unstyled","key":"2ia6t"},{"data":{"image":{"id":"5d7dd077d7859b00ad2b9fa6"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\n","type":"atomic:image","key":"3rvpq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Не знаю почему, но автоматические инструменты для форматирования кода на выходе ломают этот код, по этому пришлось форматировать его руками и давать переменным нормальные имена. Для всех этих манипуляций я использовал простой notepad++ и функцию замены текста, в результате можем двигаться дальше и исследовать первую строчку:\n","type":"unstyled","key":"8ao23"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":3,"offset":0,"style":"BOLD"}],"text":"var _0x3a59=['wpgXPQ==','cVjDjw==','Tk/DrFl/','GMOMd8K2w4jCpw==','wpkwwpE=','w6zDmmrClMKVHA==', ... ,'w4w+w5MGBQI=','w6TDr8Obw6TDlTJQaQ=='];","type":"unstyled","key":"9m9c8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Это массив в котором содержатся зашифрованные имена функций и прочие строки, значит нам надо искать функцию которая этот массив расшифровывает, далеко ходить не надо:\n","type":"unstyled","key":"5jdre"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":21,"offset":0,"style":"BOLD"}],"text":"Деобфусцированный код","type":"unstyled","key":"f6ni8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":3,"offset":0,"style":"BOLD"},{"length":8,"offset":12,"style":"BOLD"},{"length":3,"offset":59,"style":"BOLD"},{"length":3,"offset":196,"style":"BOLD"},{"length":3,"offset":200,"style":"BOLD"},{"length":3,"offset":426,"style":"BOLD"},{"length":3,"offset":430,"style":"BOLD"},{"length":3,"offset":485,"style":"BOLD"},{"length":3,"offset":716,"style":"BOLD"},{"length":3,"offset":720,"style":"BOLD"},{"length":6,"offset":1051,"style":"BOLD"}],"text":"var Decrypt=function(base64_Encoded_Param,Key_Param){\t\t\t\t\n\tvar CounterArray=[],\n\t\tCRC=0x0,\n\t\tTempVar,\n\t\tresult='',\n\t\tEncodedSTR='';\n\t\t\t\t\t\t\t\n\t\tbase64_Encoded_Param=atob(base64_Encoded_Param);\n\t\t\n\t\tfor(var n=0,input_length=base64_Encoded_Param.length;n 223\n\n//далее трюк с обфускацией\nvar _0x5e622e=function(_0x486a40,_0x1de600){_0x486a40(++_0x1de600);};\n_0x5e622e(shift_array,EncodedParamsShifts);\n\n//Или что бы было более понятнее:\nshift_array(++EncodedParamsShifts);\n","type":"unstyled","key":"fcfhc"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Естественно оно меняется каждый раз, кто бы сомневался…\n","type":"unstyled","key":"akm2u"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Теперь остаётся только заменить все вызовы\n","type":"unstyled","key":"p1e0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":3,"offset":0,"style":"BOLD"},{"length":4,"offset":14,"style":"BOLD"}],"text":"var _0x85e545=this[ParamDecryptor('0x0', '0Et]')];","type":"unstyled","key":"c290m"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"на\n","type":"unstyled","key":"8bp0m"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":3,"offset":0,"style":"BOLD"},{"length":4,"offset":14,"style":"BOLD"}],"text":"var _0x85e545=this['window'];","type":"unstyled","key":"4meoq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Или, что ещё лучше, на\n","type":"unstyled","key":"di1ra"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":3,"offset":0,"style":"BOLD"},{"length":4,"offset":15,"style":"BOLD"}],"text":"var ThisWindow=this.window;","type":"unstyled","key":"531jb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Последнее преобразование я сделал обычной регуляркой. Ах да, совсем забыли привести такие строки:\n","type":"unstyled","key":"euob4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\\x77\\x6f\\x4a\\x33\\x58\\x68\\x6b\\x59\\x77\\x34\\x44\\x44\\x6e\\x78\\x64\\x70\n","type":"unstyled","key":"3pemf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"К нормальному виду. Тут ничего сложного, это обычный UrlEncode, меняем \\x на % и декодируем чтобы получить следующую строку:\n","type":"unstyled","key":"1k3bf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"woJ3XhkYw4DDnxdp\n","type":"unstyled","key":"2o0qu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Затем я начал заменять все вызовы аля\n","type":"unstyled","key":"fl313"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"ParamDecryptor('0x0', '0Et]')","type":"unstyled","key":"5msmb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"на уже расшифрованные строки при помощи самописной функции из моего модуля. Да, код не блещет красотой, сроки горели (как обычно нужно было ещё вчера) и думать было лень ведь я привык программировать мышкой, тем не менее, оно отлично работает:\n","type":"unstyled","key":"39bnf"},{"data":{"image":{"id":"5d7dd07706cc4600ae57b9a6"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\n","type":"atomic:image","key":"6pklg"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Код переписывал с исходного практически 1в1.\n","type":"unstyled","key":"a000j"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Далее на глаза попался ещё один метод обфускации кода. Пришлось писать достаточно большую функцию которая занимается поиском таких вызовов:\n","type":"unstyled","key":"4sov9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":4,"offset":0,"style":"BOLD"},{"length":5,"offset":8,"style":"BOLD"}],"text":"case'7':while(_0x30fe16[\"XNg\"](_0x13d8ee,_0x5a370d))","type":"unstyled","key":"4h429"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"И заменой их на более простые аналоги:\n","type":"unstyled","key":"7jv4a"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":22,"offset":0,"style":"BOLD"}],"text":"Большой список функций","type":"unstyled","key":"crc51"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":3,"offset":0,"style":"BOLD"},{"length":8,"offset":22,"style":"BOLD"},{"length":9,"offset":31,"style":"BOLD"},{"length":6,"offset":62,"style":"BOLD"},{"length":8,"offset":98,"style":"BOLD"},{"length":9,"offset":107,"style":"BOLD"},{"length":6,"offset":138,"style":"BOLD"},{"length":8,"offset":174,"style":"BOLD"},{"length":9,"offset":183,"style":"BOLD"},{"length":6,"offset":214,"style":"BOLD"},{"length":8,"offset":251,"style":"BOLD"},{"length":9,"offset":260,"style":"BOLD"},{"length":6,"offset":291,"style":"BOLD"},{"length":8,"offset":328,"style":"BOLD"},{"length":9,"offset":337,"style":"BOLD"},{"length":6,"offset":368,"style":"BOLD"},{"length":8,"offset":404,"style":"BOLD"},{"length":9,"offset":413,"style":"BOLD"},{"length":6,"offset":444,"style":"BOLD"},{"length":8,"offset":481,"style":"BOLD"},{"length":9,"offset":490,"style":"BOLD"},{"length":6,"offset":521,"style":"BOLD"},{"length":8,"offset":558,"style":"BOLD"},{"length":7,"offset":567,"style":"BOLD"},{"length":6,"offset":596,"style":"BOLD"},{"length":8,"offset":632,"style":"BOLD"},{"length":9,"offset":641,"style":"BOLD"},{"length":6,"offset":672,"style":"BOLD"},{"length":8,"offset":709,"style":"BOLD"},{"length":9,"offset":718,"style":"BOLD"},{"length":6,"offset":749,"style":"BOLD"},{"length":8,"offset":785,"style":"BOLD"},{"length":9,"offset":794,"style":"BOLD"},{"length":6,"offset":825,"style":"BOLD"},{"length":8,"offset":862,"style":"BOLD"},{"length":9,"offset":871,"style":"BOLD"},{"length":6,"offset":902,"style":"BOLD"},{"length":8,"offset":938,"style":"BOLD"},{"length":9,"offset":947,"style":"BOLD"},{"length":6,"offset":978,"style":"BOLD"},{"length":8,"offset":1015,"style":"BOLD"},{"length":9,"offset":1024,"style":"BOLD"},{"length":6,"offset":1055,"style":"BOLD"}],"text":"var _0x30fe16={\n'XNg':function _0x19aabd(_0x425e3c,_0x481cd6){return _0x425e3c<_0x481cd6;},\n'sUd':function _0x320363(_0xa24206,_0x49d66b){return _0xa24206&_0x49d66b;},\n'wMk':function _0x32974a(_0x2cdcf4,_0x250e85){return _0x2cdcf4>>_0x250e85;},\n'FnU':function _0x22ce98(_0x2f5577,_0x4feea7){return _0x2f5577<<_0x4feea7;},\n'mTe':function _0x35a8bc(_0x11fecf,_0x29718e){return _0x11fecf&_0x29718e;},\n'doo':function _0x5ce08b(_0x4e5976,_0x4757ea){return _0x4e5976>>_0x4757ea;},\n'vmP':function _0x5d415c(_0x39dc96,_0x59022e){return _0x39dc96<<_0x59022e;},\n'bGL':function _0xd49b(_0x7e8c9f,_0x301346){return _0x7e8c9f|_0x301346;},\n'rXw':function _0x4dfb4d(_0x39d33a,_0x36fd1e){return _0x39d33a<<_0x36fd1e;},\n'svD':function _0x387610(_0x3cd4f7,_0x58fd9e){return _0x3cd4f7&_0x58fd9e;},\n'cuj':function _0x472c54(_0x4e473a,_0x26f3fd){return _0x4e473a==_0x26f3fd;},\n'OrY':function _0x3c6e85(_0x445d0b,_0x1caacf){return _0x445d0b|_0x1caacf;},\n'AKn':function _0x4dac5b(_0x521c05,_0x27b6bd){return _0x521c05>>_0x27b6bd;},\n'gtj':function _0x5416f0(_0x3e0965,_0x560062){return _0x3e0965&_0x560062;}\n};","type":"unstyled","key":"e6s7i"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Что бы получить:\n","type":"unstyled","key":"4mbb0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":4,"offset":0,"style":"BOLD"},{"length":5,"offset":8,"style":"BOLD"}],"text":"case'7':while(_0x13d8ee < _0x5a370d){","type":"unstyled","key":"ater"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Алгоритм работы до ужаса прост, по сути просто подставляем переменные:\n","type":"unstyled","key":"da19h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":9,"offset":37,"style":"BOLD"}],"text":"Находим имя массива, в нашем случае: _0x30fe16","type":"unordered-list-item","key":"8kscc"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":19,"offset":25,"style":"BOLD"}],"text":"Парсим входные параметры:_0x425e3c,_0x481cd6","type":"unordered-list-item","key":"7mog6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":19,"offset":20,"style":"BOLD"}],"text":"Парсим тело функции:_0x425e3c<_0x481cd6","type":"unordered-list-item","key":"844ji"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":9,"offset":9,"style":"BOLD"},{"length":9,"offset":22,"style":"BOLD"}],"text":"Заменяем _0x425e3c на _0x13d8ee","type":"unordered-list-item","key":"7cd6v"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":9,"offset":9,"style":"BOLD"},{"length":9,"offset":22,"style":"BOLD"}],"text":"Заменяем _0x481cd6 на _0x5a370d","type":"unordered-list-item","key":"e3ob6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":21,"offset":10,"style":"BOLD"}],"text":"Получаем: _0x13d8ee < _0x5a370d","type":"unordered-list-item","key":"pc01"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":34,"offset":9,"style":"BOLD"}],"text":"Заменяем _0x30fe16.XNg(_0x13d8ee,_0x5a370d)на код выше","type":"unordered-list-item","key":"fu4fu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Повторяем пока не закончатся функции","type":"unordered-list-item","key":"eevmq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Парсинг имени, параметров и тела функции делается одной регуляркой. Конечно в итоговом варианте модуля этот метод особо не нужен, там всего 1 вызов который чуть сильнее обфусцирован, но заказчик сказал делать всё и поэтому сделал, к тому же другие функции тоже стали более понятны. На других сайтах бывают ещё и такие конструкции:\n","type":"unstyled","key":"7d7c0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":29,"offset":0,"style":"BOLD"}],"text":"Показать большой и плохой код","type":"unstyled","key":"9n1gg"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":3,"offset":0,"style":"BOLD"},{"length":8,"offset":55,"style":"BOLD"},{"length":6,"offset":90,"style":"BOLD"},{"length":3,"offset":265,"style":"BOLD"},{"length":8,"offset":318,"style":"BOLD"},{"length":6,"offset":353,"style":"BOLD"},{"length":8,"offset":427,"style":"BOLD"},{"length":6,"offset":462,"style":"BOLD"},{"length":8,"offset":527,"style":"BOLD"},{"length":6,"offset":562,"style":"BOLD"},{"length":8,"offset":605,"style":"BOLD"},{"length":6,"offset":640,"style":"BOLD"},{"length":8,"offset":705,"style":"BOLD"},{"length":6,"offset":740,"style":"BOLD"},{"length":8,"offset":784,"style":"BOLD"},{"length":6,"offset":819,"style":"BOLD"},{"length":8,"offset":927,"style":"BOLD"},{"length":6,"offset":962,"style":"BOLD"},{"length":8,"offset":1006,"style":"BOLD"},{"length":6,"offset":1041,"style":"BOLD"}],"text":"var _0x4dc9f4 = {\n\t'NTSjj': _0x3d6e1f.dEVDh,\n\t'tZeHx': function(_0x2a40cd, _0x2faf22) {\n\t\treturn _0x3d6e1f.JIehC(_0x2a40cd, _0x2faf22);\n\t},\n\t'ocgoO': \"https://site/login\",\n\t'WmiOO': _0x3d6e1f.vsCuf\n};\n\n//этот массив должен быть выше, но для удобства он идёт ниже:\n\nvar _0x3d6e1f = {\n\t'dEVDh': \"4|0|2|3|5|1\",\n\t'JIehC': function(_0x34757f, _0xd344e8) {\n\t\treturn _0x34757f != _0xd344e8;\n\t},\n\t'vsCuf': \".countdownGroup\",\n\t'awUzV': function(_0x4b3914, _0x1f9e41) {\n\t\treturn _0x4b3914 === _0x1f9e41;\n\t},\n\t'smOkd': \"NSpHE\",\n\t'bvCub': function(_0x208c1d, _0x160d32) {\n\t\treturn _0x208c1d(_0x160d32);\n\t},\n\t'PmBNl': function(_0x33524f, _0x29b35a) {\n\t\treturn _0x33524f(_0x29b35a);\n\t},\n\t'Fhbrr': \"#stopBtn\",\n\t'Vkpkf': function(_0x2de6ac, _0x31bb8b) {\n\t\treturn _0x2de6ac + _0x31bb8b;\n\t},\n\t'HbSaV': function(_0x429822, _0x1a46e9) {\n\t\treturn _0x429822 + _0x1a46e9;\n\t},\n\t'UsdKM': \"https://site/register\",\n\t'JCXqh': \"Timer started. \",\n\t'GBXqx': function(_0x18f912, _0x5829b5) {\n\t\treturn _0x18f912 / _0x5829b5;\n\t},\n\t'sSdZf': function(_0x45f64c, _0x152cb4) {\n\t\treturn _0x45f64c(_0x152cb4);\n\t},\n\t'AAmKj': \".countdownTimer\"\n};","type":"unstyled","key":"f7okm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Как видно тут параметр из одного массива ссылается на другой. Я решил эту задачу просто: \n","type":"unstyled","key":"c5p8r"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Парсим все массивы","type":"unordered-list-item","key":"8uvop"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Вычищаем их из кода","type":"unordered-list-item","key":"b9gsj"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Копируем все элементы в ассоциативный массив (имя, значение)","type":"unordered-list-item","key":"d8ka1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"В цикле рекурсивным поиском ищем все вложенные функции","type":"unordered-list-item","key":"bvqfv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Заменяем вложенные функции на действия которые они делают","type":"unordered-list-item","key":"arlir"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Разворачиваем все ссылки на строки таким же методом","type":"unordered-list-item","key":"vfa"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"После применения этого метода деобфускации код стал чуть менее запутанным. Сходу можно заметить функцию base64 по двум признакам. Первый:\n","type":"unstyled","key":"9j9ei"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"CharArray=\"ABCDE...XYZabcde...xyz0123456789+/\";","type":"unstyled","key":"3t56t"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"И второй:\n","type":"unstyled","key":"78a5n"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":2,"offset":0,"style":"BOLD"}],"text":"if(!window[\"btoa\"])window[\"btoa\"]=_0x386a89;","type":"unstyled","key":"fk17h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":151,"style":"BOLD"}],"text":"Можно дальше не реверсить и переходить к другим, более важным функциям, а если быть точнее — к функции которая работает с куками. Я нашёл её по строке incap_ses_ и заметил ещё одну фишку обфускации — запутывание кода при помощи циклов:\n","type":"unstyled","key":"7i4rh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":12,"offset":0,"style":"BOLD"}],"text":"Показать код\nТут всё очень просто: переставляем строки в соответствии с порядком выполнения: 4|2|5|0|3|1 и получаем оригинальную функцию. Этот метод деобфускации тоже не нужен в итоговом варианте но он не вызвал больших проблем, всё парсится элементарно, главное учесть что могут быть вложенные циклы и поэтому я просто сделал рекурсивный поиск.\n","type":"unstyled","key":"20ud7"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":25,"offset":0,"style":"BOLD"},{"length":10,"offset":93,"style":"BOLD"}],"text":"Функция получения кукисов\nОна просто заносит в массив значения всех кук которые начинаются с incap_ses_ и далее уже другой метод подсчитывает их контрольную сумму просто суммируя ASCII коды:\n","type":"unstyled","key":"b2aot"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":12,"offset":0,"style":"BOLD"}],"text":"Показать код\nКонтрольная сумма нам нужна будет чуть дальше, а сейчас давайте разберёмся что это за функция такая _0x4d5690 которая вызывается из разных мест. Для этого достаточно просто посмотреть на вызываемые методы и присвоить им соответствующие имена:\n","type":"unstyled","key":"e9ruk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":3,"style":"BOLD"},{"length":13,"offset":12,"style":"BOLD"},{"length":2,"offset":30,"style":"BOLD"},{"length":3,"offset":33,"style":"BOLD"},{"length":4,"offset":37,"style":"BOLD"}],"text":"\t\t\nfunction CheckDebugger(){\n\tif(new this.window.Date()[\"getTime\"]() - RunTime) > 0x1f4){\n\t\tFuckDebugger();\n\t}\n}","type":"unstyled","key":"67s30"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Автор этого скрипта очень наивный :)\n","type":"unstyled","key":"b2biq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Ещё один важный момент:\n","type":"unstyled","key":"c1tt6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"ParamDecryptor('0x65', '\\x55\\xa9\\xf9\\x1c\\x1a\\xd5\\xfc\\x60')\n//result = \"ca3XP6zjTSB3w3gEwMl6lqgsdEVDTV9aF4rEDQ==\";\n","type":"unstyled","key":"cjbod"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":5,"offset":32,"style":"BOLD"}],"text":"Отсюда нам нужны первые 5 букв: ca3XP, чуть ниже расскажу зачем. И помните мы подсчитывали контрольные суммы от значений кук? Вот теперь они нам понадобятся чтобы получить так называемый хеш.\n","type":"unstyled","key":"2lg00"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":19,"offset":0,"style":"BOLD"}],"text":"Функция хеширования","type":"unstyled","key":"cpv7o"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":0,"style":"BOLD"},{"length":10,"offset":9,"style":"BOLD"},{"length":13,"offset":20,"style":"BOLD"},{"length":6,"offset":42,"style":"BOLD"},{"length":6,"offset":51,"style":"BOLD"},{"length":3,"offset":59,"style":"BOLD"},{"length":6,"offset":92,"style":"BOLD"},{"length":5,"offset":100,"style":"BOLD"},{"length":3,"offset":166,"style":"BOLD"},{"length":2,"offset":175,"style":"BOLD"},{"length":2,"offset":195,"style":"BOLD"},{"length":5,"offset":198,"style":"BOLD"},{"length":3,"offset":264,"style":"BOLD"},{"length":3,"offset":299,"style":"BOLD"},{"length":3,"offset":319,"style":"BOLD"}],"text":"function TIncapsula.GetDigestHash(Digest: string): string;\nvar i:integer; CookieDigest, res:string;\nbegin\n CookieDigest:=GetCookieDigest; //85530,85722\n res:='';\n for i:=0 to Length(Digest)-1 do begin\n res:=res+IntToHex(ord(Digest[i+1]) + ord(CookieDigest[i mod Length(CookieDigest)+1]),1);\n end;\n result:=res;\nend;\n","type":"unstyled","key":"fhhdi"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Сравниваем:\n","type":"unstyled","key":"d1sob"},{"data":{"image":{"id":"5d7dd07723bf4800ad6a8afa"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\n","type":"atomic:image","key":"5g5uo"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Отлично! Остался последний этап — получение куки для ответа:\n","type":"unstyled","key":"4kpih"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"ResCooka=((((ParamDecryptor(btoa(PluginsInfo),\"ca3XP\")+\",digest=\")+DigestArray)+\",s=\")+AllDigestHash);\nSet_Cookies(\"___utmvc\",btoa(ResCooka),0x14);","type":"unstyled","key":"80lir"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":5,"offset":163,"style":"BOLD"}],"text":"Оригинальный код в начале добавлял в конец сдвинутого массива AllParams закодированные в base64 параметры браузера, «шифровал» их функцией ParamDecryptor с ключом ca3XP и потом удалял добавленный ранее элемент. Я могу предположить что данный костыль был сделан из-за небольшой особенности: функция ParamDecryptor принимает индекс элемента в массиве и ключ, а значит передать строку туда можно только через массив. Почему бы не сделать нормально? Программисты, сэр.\n","type":"unstyled","key":"82jeq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Ну собственно всё, кука готова, осталось её установить и отправить запрос. Правда её у вас не примет из-за одной маленькой детали про которую я предпочту умолчать.\n","type":"unstyled","key":"atnaf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":11,"offset":0,"style":"BOLD"}],"text":"Оптимизация","type":"header-three","key":"a6t8d"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Кусочки кода на Delphi — это всего лишь прототип. Весь код деобфускатора был переписан на ассемблер в связи с требованиями заказчика и скорость его выполнения увеличилась в несколько раз. Так же положительно сказалось на скорости следующее:\n","type":"unstyled","key":"3a12a"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Вырезание лишних кусков кода и массивов за одну итерацию цикла. Это нужно чтобы значительно уменьшить количество кода и ускорить поиск в дальнейшем.","type":"unordered-list-item","key":"ao2j"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Так как функции в коде не перемешаны, то мы знаем их примерное размещение, следовательно если функция установки кук находится в самом конце то искать её надо как минимум с середины.","type":"unordered-list-item","key":"eo703"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Поиск ключевых функций заранее. Алгоритм на ассемблере ищет их ещё в момент очистки кода от ненужного мусора.","type":"unordered-list-item","key":"78d3v"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"В конечном варианте избавился примерно от половины функций деобфускатора которые нужны были для понимания кода и не нужны для бота так как нужные параметры достаются без проблем","type":"unordered-list-item","key":"bsh24"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":0,"style":"BOLD"}],"text":"Заключение","type":"header-three","key":"77t11"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Когда я захожу на сайт — я хочу чтобы он работал быстро, и обфускация JS скриптов таким методом это неуважение к пользователю. Помогает ли это в защите от ботов? Нет конечно, как видно обходится буквально за вечер, а из затрат только пара бутербродов и несколько чашек чая. \n","type":"unstyled","key":"ag8ri"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Цель данной статьи рассказать про принцип работы данного решения и показать на сколько оно бесполезно. По понятным причинам готовый модуль для обхода данной защиты опубликован не будет (после его утечки — геймстоп бедный перешёл на akamai), кому надо тот сделает сам основываясь на данном исследовании (которое проводилось около года назад и до сих пор актуально), а школьники которые хотят побрутить чужие аккаунты идут лесом. Если будут вопросы то всегда готов ответить на них в комментариях.","type":"unstyled","key":"erv20"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"marker","key":"mRyqk8BxjMH0Xbrf1OAV"}],"entityMap":{}},"mentions":[]}