Деобфускатор JavaScript

Ученику достаётся проект на JavaScript, где переменные названы одной буквой, строки закодированы, выражения вложены друг в друга, а функции невозможно проследить. Страница работает, но никто в группе не может объяснить, как данные из формы превращаются в итоговый результат.

Деобфускатор JavaScript помогает разобрать часть такого преобразованного кода. В зависимости от того, что вы ему дадите, он способен обнажить структуру, упростить отдельные конструкции, раскодировать некоторые строки или вернуть рабочую, но заметно более читаемую версию.

Деобфускация — это не восстановление исходника. Комментарии, осмысленные имена, границы модулей, типы TypeScript и логика автора могли исчезнуть безвозвратно. А сложные преобразования к тому же не поддаются автоматическому разбору.

Незнакомый JavaScript нельзя запускать просто для того, чтобы выяснить, что он делает. Безопасный разбор начинается с разрешения, сохранённой копии, статического анализа и управляемой среды, рассчитанной на потенциально опасный код.

Что такое обфускация JavaScript

Обфускация меняет код так, чтобы его было трудно понять человеку, но поведение при этом сохраняется. Разработчик прибегает к ней, чтобы отбить охоту к лёгкому копированию, спрятать часть бизнес-логики или усложнить обратную разработку.

В обфусцированном JavaScript обычно встречаются:

• Переменные с именами в одну букву или вовсе бессмысленными.
• Огромные массивы закодированных строк.
• Вызовы функций окольным путём.
• Вычисления, которые ни на что не влияют.
• Условные выражения, вложенные на много уровней.
• Намеренно запутанный порядок выполнения.
• Escape-последовательности вместо обычных символов.
• Функции, которые собирают или выполняют код на лету.
• Повторяющиеся обёртки вокруг простых операций.
• Мёртвый код, который только отвлекает от настоящего поведения.

Минифицированный JavaScript тоже читается плохо, но минификация нужна ради размера файла. У обфускации задача другая — спрятать смысл.

Форматирование и деобфускация — разные вещи

Если беда только в том, что весь код сжат в одну строку, начните с форматировщика JavaScript. Деобфускация нужна тогда, когда код остаётся намеренно запутанным даже после форматирования.

Что деобфускация помогает разглядеть

• Где начинаются и заканчиваются функции и блоки.
• Повторяющиеся обращения к таблицам строк.
• Закодированные и экранированные текстовые значения.
• Сетевые адреса, записанные окольным способом.
• Обработчики событий и точки входа в выполнение.
• Элементы страницы, которые скрипт выбирает или меняет.
• Обращения к хранилищу, cookie, буферу обмена и формам.
• Функции, выполняющие сгенерированный на лету код.
• Ненужные или отвлекающие ветвления.
• Общий путь данных от ввода к выводу.

Каждый результат нужно перепроверять. Одно преобразование может прояснить один участок и оставить соседний таким же непроходимым.

Чего автоматическая деобфускация не обещает

Деобфускатор не гарантирует, что удастся:

• Вернуть исходные имена функций и переменных.
• Восстановить удалённые комментарии.
• Воссоздать структуру папок проекта.
• Снять все слои обфускации до единого.
• Верно разобрать код, который создаётся во время выполнения.
• Безопасно запустить полученный результат.
• Доказать, что скрипт безвреден.
• Получить право копировать и публиковать чужой код.
• Починить ошибки в логике.
• Достать серверный код, которого здесь никогда и не было.

Как разбирать JavaScript безопаснее

1. Убедитесь, что у вас есть право. Разбирайте свой код, учебные материалы, выданные преподавателем, или код, на осмотр которого получено разрешение.
2. Сохраните оригинал. Запишите, откуда он взялся, и, если того требует разбирательство, посчитайте хеш файла.
3. Не запускайте. Начинайте со статического анализа.
4. Отформатируйте копию. Если скрипт сжат, сначала пропустите его через форматировщик.
5. Загружайте только то, что не жалко. Уберите закрытые ключи, токены, данные учеников и служебный код, прежде чем пользоваться любым онлайн-инструментом.
6. Запустите деобфускацию. Сохраните результат отдельным файлом для разбора.
7. Сравните оригинал с выводом. Посмотрите, какие преобразования действительно произошли.
8. Найдите точки входа и побочные эффекты. Ищите работу с сетью, хранилищем, DOM и выполнение кода на лету.
9. Запишите находки. Фиксируйте доказательства с номерами строк и отдельно отмечайте то, в чём не уверены.
10. Передавайте опасные образцы дальше. Неизвестный или подозрительный код — работа для специалиста по безопасности в подготовленной среде.

Порядок статического разбора

Статический разбор — это изучение кода без его запуска. Именно с него и стоит начинать знакомство с незнакомым скриптом.

1. Найдите точки входа

Ищите прямые вызовы функций, подписки на события, обработчики загрузки страницы, таймеры, инициализацию модулей и импортированные функции. Обычно выполнение начинается там.

2. Найдите источники данных

Посмотрите, обращается ли код к:

• Полям формы.
• Параметрам адреса страницы.
• Cookie.
• Локальному или сеансовому хранилищу.
• Ответам API.
• Буферу обмена.
• Загруженным пользователем файлам.
• Тексту и атрибутам самой страницы.

3. Найдите, что уходит наружу

Обратите внимание на:

• Изменения страницы.
• Сетевые запросы.
• Переадресации.
• Скачивание файлов.
• Записи в хранилище.
• Сообщения в консоли.
• HTML, создаваемый на лету.
• Обращения к сторонним сервисам.

4. Отыщите выполнение на лету

Функции вроде eval(), создание функций из строк и скрипты, собранные из текста, требуют особого внимания. Само их присутствие ещё не говорит о злом умысле, но понять код, не запуская его, становится заметно труднее.

5. Проследите закодированные строки

Обфусцированный скрипт может хранить адреса и сообщения в виде escape-последовательностей, шестнадцатеричного кода или Base64. Раскодируйте только копии безобидных значений и не запускайте полученное.

Реальные учебные и защитные сценарии

1. Вернуть читаемость групповому проекту

Группа обнаруживает, что от старой сборки остался только преобразованный файл JavaScript. Исходник никто не сохранил.

Ребята форматируют и деобфусцируют копию, а по ней находят основные функции и селекторы страницы. Осмысленные имена возвращают постепенно и только там, где поведение уже подтверждено.

Восстановленный файл становится временной основой для поддержки — но в документации отмечают, что это не точный оригинал.

2. Разобрать обфускацию на уроке информатики

Учитель раздаёт безобидный скрипт, который всего лишь складывает два числа. Одна версия читаемая, другая — с переименованными переменными и закодированными строками.

Ученики сравнивают файлы, прогоняют их через инструменты деобфускации и объясняют, что удаётся вернуть, а что нет.

Урок выходит про прозрачность программ, поддержку кода, интеллектуальную собственность и пределы «защиты через непонятность».

3. Проверить сторонний виджет

Администратор школьного сайта получает разрешение оценить небольшой сторонний виджет перед установкой.

Скрипт проверяют на внешние запросы, обращения к cookie, сбор данных из форм и изменения DOM. Официальную документацию и политику конфиденциальности сверяют с тем, что код делает на самом деле.

О любом необъяснимом поведении сообщают поставщику, а не закрывают на него глаза только потому, что виджет выглядит полезным.

4. Разобраться с неожиданной переадресацией

Начинающий разработчик замечает, что тестовая страница сама уходит на другой адрес после загрузки незнакомого скрипта.

Скрипт убирают со страницы, сохраняют как улику и разбирают, не запуская. Деобфускация помогает вытащить адрес назначения и условие, при котором происходит переход.

Код возвращают на работающую страницу только после того, как выяснены его происхождение и назначение.

5. Понять закодированную конфигурацию

В разрешённом скрипте лежит таблица строк с подписями интерфейса и путями к API. Сопоставить значения с местами, где они используются, непросто.

Разработчик составляет соответствие между позициями массива и раскодированными значениями, а затем переименовывает ссылки в рабочей копии.

Всё, что похоже на Base64, пропускают через декодер Base64 — и только тогда, когда уже известно, что это безобидные данные.

6. Проверить игру для урока

Учительница хочет взять на урок браузерную игру, написанную бывшим учеником. Её JavaScript специально сделан нечитаемым.

Код просматривают на предмет сетевых соединений, сбора данных, рекламы, сторонних скриптов и небезопасной вставки HTML. Саму игру запускают только в изолированной проверенной среде.

Если объяснить поведение с уверенностью не получается, учительница берёт другой материал.

7. Найти причину поломки в продакшен-сборке

Ученик выкладывает минифицированное и обфусцированное приложение, и кнопка перестаёт работать только в рабочей версии.

Сначала проверяют исходный код, настройки сборки и source maps. Деобфусцированная копия проблемного бандла помогает понять, где преобразование изменило поведение.

Правку вносят в читаемый исходник и в настройки сборки, но никогда — прямо в сгенерированный файл.

8. Провести первичную оценку угрозы

Администратор находит незнакомый скрипт, внедрённый в тестовый сайт. Файл изолируют и фиксируют, откуда он взялся.

Статический анализ ищет подозрительные адреса, сбор учётных данных, внедрённые скрипты и способы закрепиться в системе. На обычном школьном компьютере образец не запускают.

Дальнейший разбор ведут специалисты по безопасности в рамках принятого в организации порядка реагирования.

Конструкции, на которые стоит посмотреть

Решает контекст. Такую конструкцию нужно изучить, а не сразу записывать во вредоносные.

Переименование переменных при разборе

В обфусцированном коде встречаются имена вроде a, b и _0x4fa2. Переименовывайте переменную только после того, как соберёте доказательства её роли.

Например:

const a = document.querySelector("#email");
const b = a.value;

В рабочей копии это может превратиться в:

const emailField = document.querySelector("#email");
const emailValue = emailField.value;

Имя должно описывать уже проверенное поведение. Не спешите с ярлыками вроде stolenPassword, пока доказательства этого не подтверждают.

Комментарии в разборочной копии

Пишите комментарии так, чтобы наблюдение было отделено от догадки:

// Наблюдение: читает значение поля электронной почты.
// Предположение: возможно, используется при отправке формы.
// Проверить, куда уходит emailValue, прежде чем делать вывод о назначении.

Такая привычка держит неопределённость на виду и не даёт догадке превратиться в «установленный факт».

Какие проблемы это решает

• Разрешённый файл JavaScript остаётся непонятным даже после форматирования.
• От группового проекта уцелела только преобразованная продакшен-сборка.
• На уроке нужно сравнить читаемый код с обфусцированным.
• Сторонний виджет требует проверки перед установкой.
• На тестовой странице обнаружилась необъяснимая переадресация.
• Массивы закодированных строк скрывают значения настроек.
• Ошибка, которая вылезает только в продакшене, может идти от сборки.
• Незнакомый скрипт нужно оценить, не запуская.

Частые ошибки при деобфускации

Сначала запустить скрипт

Незнакомый код может изменить страницу, обратиться к внешним сервисам, собрать сведения или что-нибудь скачать. Начинайте со статического разбора.

Считать вывод безопасным

Читаемый скрипт делает ровно то же самое, что и оригинал, — включая опасное.

Ждать точный исходник

Удалённые комментарии, имена, модули и типы вернуть, скорее всего, не выйдет.

Загружать закрытый код в онлайн-сервис

Бизнес-логику, токены, школьные системы и данные учеников нельзя отправлять без разрешения.

Разбирать код без права на это

Читаемость кода не отменяет юридических, договорных и этических ограничений. Разбирайте только то, на что есть разрешение.

Переименовывать слишком рано

Неверное имя портит весь дальнейший разбор. Сначала проследите путь данных, потом присваивайте смысл.

Править собранный файл

Изменения исчезнут при следующей сборке. Если есть читаемый исходник и настройки сборки, правьте там.

Не смотреть на source maps

Source maps могут связать продакшен-код с исходными файлами. Проверьте, нет ли разрешённых карт, прежде чем браться за ручную реконструкцию.

Безопасность и приватность

В JavaScript попадают адреса, идентификаторы API, токены, внутренние комментарии, тестовые учётные записи и пользовательские данные. Деобфускация всего лишь показывает то, что уже лежало там: трудночитаемое, но никогда по-настоящему секретное.

Не вставляйте в онлайн-сервис рабочие учётные данные, внутренний школьный код, записи об учениках и закрытые сторонние скрипты.

Если обнаружился потенциально вредоносный код:

• Отключите его от работающей страницы.
• Сохраните оригинал в безопасном месте.
• Запишите, где и когда он найден.
• Не запускайте его на обычном рабочем компьютере.
• Сообщите ответственному администратору.
• Действуйте по принятому в организации порядку реагирования.

Частые вопросы

Итоговый список проверок

• Право на разбор кода подтверждено.
• Оригинал файла сохранён.
• Незнакомый код не запускали наобум.
• Сначала изучили отформатированную копию.
• Деобфусцированный результат лежит отдельно.
• Точки входа, источники данных, вывод и побочные эффекты найдены.
• Сетевые адреса задокументированы.
• Выполнению кода на лету уделено дополнительное внимание.
• Наблюдения отделены от предположений.
• Ни закрытый код, ни данные учеников никуда не загружались.
• Подозрительные образцы переданы дальше по правилам.

Связанные инструменты

Если дело только в сжатом форматировании, берите форматировщик JavaScript. А минификатор JavaScript нужен исключительно для того, чтобы собрать рабочую версию из читаемого и уже проверенного кода.

Разобрать структуру и оформление страницы помогут форматировщик HTML и форматировщик CSS.

Когда безобидная строка подтвердилась как Base64, пропустите её через декодер Base64 и отнеситесь к результату как к недоверенным данным.

Коротко о главном

Деобфускатор JavaScript помогает при разрешённой поддержке кода, на уроках, при отладке, проверке чужих скриптов и разборе инцидентов. Он делает трудный код куда доступнее, но не воссоздаёт то, что было удалено.

Начинайте с разрешения и статического разбора. Сохраните оригинал, форматируйте и деобфусцируйте копии, фиксируйте находки и не запускайте незнакомые скрипты на обычном компьютере.

Цель не в том, чтобы код стал опрятнее. Цель — понять, что скрипт читает, меняет, отправляет, сохраняет и подгружает, не подвергая риску людей, системы и чужие личные данные.