Какво прави JavaScript обфускатор?
JavaScript обфускаторът е проектиран да взема чист, четлив за човек код и да го трансформира в нещо едва четливо, което го прави по-труден за разбиране или обратно инженерство. Тези инструменти преименуват променливи и функции, премахват интервали, изравняват структурите на кода и прилагат техники като разделяне на низове, шестнадесетично кодиране или изравняване на контролния поток. Макар че целта често е да се защити интелектуалната собственост или да се намали размерът на файла, получената сложност също така осигурява идеално прикритие за зловреден софтуер на JavaScript. Ето защо много екипи по сигурност се обръщат към инструменти за деобфускатор на JavaScript, за да анализират трансформирания код и да разкрият скрито поведение.
Например, нещо толкова просто като:
function greet(name) { return `Hello, ${name}`; } Might become: function _0x1a2b(_0x3c4d){return'Hello, '+_0x3c4d;} За разработчиците, които доставят клиентска логика (например, SaaS, базиран на браузър), JavaScript обфускаторът е част от инструментариума. Но същата тази трансформация го прави идеално прикритие за JavaScript зловреден софтуер.
Как атакуващите злоупотребяват с обфускацията, за да скрият зловреден софтуер в JavaScript
Нападателите злоупотребяват с инструментите за обфускатор на JavaScript, за да прикрият зловреден софтуер, инжектиран в библиотеки с отворен код, npm пакетиили директно в скриптовете на браузъра. Често срещан модел е скриването на полезни товари в обфускирани функции, които се задействат по време на изпълнение при определени условия.
Да разгледаме компрометиран npm пакет. На пръв поглед всичко изглежда легитимно. Но по-задълбочен поглед разкрива обфусциран JavaScript, който препраща към кодирани низове, отдалечени URL адреси или динамични... оценка () обаждания:
(function(_0xa1b2c){var _0xd3e4=['/(function(_0xa1b2c){var _0xd3e4=['\x2fapi/(function(_0xa1b2c){var _0xd3e4=['\x2fapi\x2fsteal','...']; ...eval(atob(_0xd3e4[0]));})(this); Това не е компресия. Това е прикритие. Зловредният JavaScript софтуер се крие тук, чакайки да открадне токени, да инжектира фишинг формуляри или да повиши разрешенията в приложенията.
Реални рискове в AppSec и веригата за доставки
Съвременен софтуер pipelineса изградени върху код на трети страни. Зловредният JavaScript софтуер, вграден чрез обфусирани скриптове, не е просто дупка в сигурността; това е нарушение на веригата за доставки. След като обфусираният зловреден софтуер попадне в споделена библиотека, той се разпространява:
- В CI компилации чрез package.json
- В frontend пакети чрез Webpack/Rollup
- В производство чрез CDN или инжектиране на скриптове
Например, инцидентът със event-stream показа как атакуващите са използвали обфускация, за да поставят полезни товари в широко използвани пакети. Разработчиците рядко проверяват дълбоко обфускирания код, което го прави идеалното място за скривалище.
Рискът не е теоретичен. Той вече е в кода ви, ако зависимостите ви не са сканирани.
Откриване на обфускиран код с инструменти за деобфускатор на JavaScript
За да открият скрити заплахи, екипите използват инструменти за деобфускатор на JavaScript. Те анализират обфускираните кодови модели, декодират низове и разкриват червени флагове, като например динамични оценка (), обфускирани цикли и ненужна сложност.
Полезните деобфускатори не само преформатират кода; те маркират:
- Използване на функция, оценка, и setTimeout с кодирани полезни товари
- Дълги поредици от Base64 или шестнадесетични низове
- Изравняване на контролния поток или инжектиране на мъртъв код
Автоматизирани инструменти като статични анализатори или AST парсери помагат за откриването на тези модели. Те са първата линия на защита при преглед на зависимости или валидиране на актуализации на пакети.
Пример: интегрирайте сканиране за деобфускация в проверките преди сливане, за да избегнете сливането на скрити заплахи.
Интегриране на откриването в CI/CD Pipelines
Откриването не е задача след внедряването. Сканирането за обфускация трябва да бъде част от CI/CD pipeline. Употреба Действия на GitHub, GitLab CI или Дженкинс за да се задействат сканирания при всяко изпращане или сливане.
Типичен pipeline на потока:
jobs: security-check: steps: - uses: actions/checkout@v2 - name: Scan for Obfuscation run: node scripts/deobfuscate-scan.jsС прилагането на правила можете да блокирате компилации, които съдържат рискован обфускиран код. Комбинирайте това с SCA инструментите за кръстосано препращане към известни сигнатури на зловреден софтуер в npm пакети.
Не чакайте изненади по време на изпълнение. Направете го отхвърляне по време на изграждане.
Скритата цена на обфускацията: Борба със зловредния софтуер в JavaScript с деобфускатори
Инструментите за обфускатор на JavaScript имат легитимни приложения. Но атакуващите разчитат на тях, за да скрият зловреден софтуер на JavaScript и да експлоатират доверието в екосистемата с отворен код. Истинският риск в AppSec не е само в това, което пишете, но и в това, което импортирате. Чрез вграждане на JavaScript деобфускаторни сканирания и статичен анализ в CI/CD pipelineЕкипите от разработчици могат да забележат заплахите рано. Отнасяйте се с подозрение към обфускирания код в зависимостите, особено когато е неочакван.
Инструменти като Ксигени са създадени, за да помогнат на екипите на DevSecOps да получат представа за рисковете, свързани с обфускацията и веригата за доставки в JavaScript екосистемите. Използвайте ги, за да подобрите pipeline и да откриете какво се крие във вашия код, преди той да влезе в продукцията.
Ксигени надхвърля основното сканиране, като анализира моделите на обфускация на JavaScript, сигнализира за потенциален зловреден софтуер на JavaScript и проследява рисково поведение в пакетите във веригата за доставки на софтуер. Той се интегрира безпроблемно в CI/CD pipelines, което позволява автоматизирано управление на качеството и сигурността на кода.
Бъдете параноични. Сканирайте всичко. И не забравяйте: ако нещо изглежда като безсмислица, вероятно си заслужава да се погледне отново.
