瑞数(Botgate)安全产品分析

声明：该文章为学习使用，严禁用于商业用途和非法用途，违者后果自负，由此产生的一切后果均与作者无关

一、瑞数四特点：

1. 有两次相同的请求。
2. 瑞数 Cookie 一般是成对出现的，例如 FSSBBIl1UgzbN7N80S 和 FSSBBIl1UgzbN7N80T。其中以 S 结尾的 Cookie 是第一次的 202 那个请求服务器返回的，以 T 结尾的 Cookie 是由 JS 生成的，动态变化的，T 和 S 前面一般会跟 80 或 443 的数字 （数字 80 是 http 协议的默认端口号，数字 443 是 https 协议的默认端口）。
3. js 代码生成的 cookie 值，首字母一定会有一个数字，3 代表 3 代，4 表示 4 代，5 代表 5 代。
4. 打开抓包工具后，会进入两次无限 debugger。
5. 第一次请求：状态码 202， 服务器响应一个 cookie， 返回一段包含 js 代码的 html 代码。

• 第一次返回的 html 代码结构：- meta 标签的 content 内容，每次都是变化的。- 两个 script 标签：- 第一个 script 标签是外链的 JS，直接打开看是乱码的，里面定义了全局变量 window.$_ts，在自执行方法中会用到，在不同页面也有所差别，但是同一个网站同一个页面 JS 里的内容一般是固定不会变的。- 第二个 script 标签里面包含一个自执行方法，可以将外链的 JS 乱码变成 VM 文件中的正常代码，用来生成 cookie 信息， 每次请求变化的只是变量名，整体逻辑不变，瑞数的 JS 混淆代码中，变量、方法名大多类似于 _$xx，有众多的 if-else 控制流。

  6、第二次请求，携带两个 cookie 返回正确数据 。

二、瑞数4分析

本文介绍的是JS逆向补环境的方式过瑞数

目标网站：http://www.fangdi.com.cn/index.html

1、请求状态码

清空cookie, 刷新页面，可以看到先请求了http://www.fangdi.com.cn/index.html 接口，返回了状态码202

2、返回代码构成

返回的是一段包含js代码的html代码，其中js代码是一个自执行方法，用来生成cookie信息，而且还有一个外链的js，请求后返回的是ts代码

3、定位cookie位置

清空cookie后，使用油猴脚本

(function () {
// 严谨模式 检查所有错误
    'use strict';
// document 为要hook的对象 这里是hook的cookie
    var cookieTemp = "";
    Object.defineProperty(document, 'cookie', {
        // hook set方法也就是赋值的方法
        set: function (val) {
            // 这样就可以快速给下面这个代码行下断点
            // 从而快速定位设置cookie的代码
            if (val.indexOf('FSSBBIl1UgzbN7N80T') != -1) {
                debugger;
            }
            console.log('Hook捕获到cookie设置->', val);
            cookieTemp = val;
            return val;
        }, // hook get 方法也就是取值的方法
        get: function () {
            return cookieTemp;
        }
    });
})();

依次出现两个典型的无限 debugger对于后续分析没有影响，直接右键永不在此暂停，定位到cookie

找到cookie赋值位置，由于很多值、变量都是动态变化的，所以需要固定一套代码到本地，方便打断点分析和跟栈

4、分析代码

在查看栈堆时，我们发现上面是同一个 VM 文件，下面都在 index.html 文件中。VM 文件是浏览器为匿名函数创建的内存空间，用于存储和执行临时脚本，通常由执行

eval

、

setTimeOut

、

call

等方法生成。所以可以确定一定是在 index.html 中调用方法生成了 VM 文件。

通过定位到 index.html 文件，发现是执行了

call

方法生成了 VM 文件（瑞数 4、5、6 通常都是调用的

call

方法）。向上查找，会发现

call

方法在自执行方法里面。

由于代码执行完后，在

document.cookie

中一定会有数据。此时，我们可以直接把整个自执行方法拿下来，然后使用

console.log(document.cookie)

直接调用

cookie

，在控制台输出。

5、补环境

运行代码，会提示缺少环境

                    _$yz = window,
                    ^

ReferenceError: window is not defined

使用吐环境代码：

function get_enviroment(proxy_array) {
    for (var i = 0; i < proxy_array.length; i++) {
        handler = '{\n' +
            '    get: function(target, property, receiver) {\n' +
            '        console.log("方法:", "get  ", "对象:", ' +
            '"' + proxy_array[i] + '" ,' +
            '"  属性:", property, ' +
            '"  属性类型:", ' + 'typeof property, ' +
            // '"  属性值:", ' + 'target[property], ' +
            '"  属性值类型:", typeof target[property]);\n' +
            '        return target[property];\n' +
            '    },\n' +
            '    set: function(target, property, value, receiver) {\n' +
            '        console.log("方法:", "set  ", "对象:", ' +
            '"' + proxy_array[i] + '" ,' +
            '"  属性:", property, ' +
            '"  属性类型:", ' + 'typeof property, ' +
            // '"  属性值:", ' + 'target[property], ' +
            '"  属性值类型:", typeof target[property]);\n' +
            '        return Reflect.set(...arguments);\n' +
            '    }\n' +
            '}'
        eval('try{\n' + proxy_array[i] + ';\n'
            + proxy_array[i] + '=new Proxy(' + proxy_array[i] + ', ' + handler + ')}catch (e) {\n' + proxy_array[i] + '={};\n'
            + proxy_array[i] + '=new Proxy(' + proxy_array[i] + ', ' + handler + ')}')
    }
}

proxy_array = ['window', 'document', 'location', 'navigator', '