1. 从一个“天书”般的弹窗说起那天下午我正在调试一个前端项目控制台突然弹出了一段极其诡异的代码[][(![][])[[]]([![]][][[]])[![][[]]](![][])[![]![]](!![][])[[]](!![][])[![]![]![]](!![][])[![]]][([][(![][])[[]]([![]][][[]])[![][[]]](![][])[![]![]](!![][])[[]](!![][])[![]![]![]](!![][])[![]]][])[![]![]![]](!![][][(![][])[[]]([![]][][[]])[![][[]]](![][])[![]![]](!![][])[[]](!![][])[![]![]![]](!![][])[![]]])[![][[]]]([][[]][])[![]](![][])[![]![]![]](!![][])[[]](!![][])[![]]([][[]][])[[]]([][(![][])[[]]([![]][][[]])[![][[]]](![][])[![]![]](!![][])[[]](!![][])[![]![]![]](!![][])[![]]][])[![]![]![]](!![][])[[]](!![][][(![][])[[]]([![]][][[]])[![][[]]](![][])[![]![]](!![][])[[]](!![][])[![]![]![]](!![][])[![]]])[![][[]]](!![][])[![]]]((![][])[![]](![][])[![]![]](!![][])[![]![]![]](!![][])[![]](!![][])[[]](![][][(![][])[[]]([![]][][[]])[![][[]]](![][])[![]![]](!![][])[[]](!![][])[![]![]![]](!![][])[![]]])[![]![][[]]][![]](!![][][(![][])[[]]([![]][][[]])[![][[]]](![][])[![]![]](!![][])[[]](!![][])[![]![]![]](!![][])[![]]])[![]![][[]]])()我的第一反应是代码被混淆了还是遇到了什么奇怪的攻击但仔细一看这段代码里只有六个字符[、]、(、)、!、。这立刻让我想到了一个在安全圈和前端圈都颇有名气的“奇技淫巧”——JSFuck。JSFuck是一种极端的JavaScript混淆技术它仅用这六个字符就能编码出任何有效的JavaScript代码。对于安全分析、代码审计或者像我这样单纯好奇的程序员来说遇到这种“天书”代码解密就成了首要任务。这篇文章我就结合自己多次处理JSFuck代码的经验详细拆解两种最实用、最高效的解密方法动态执行法和静态分析法并深入探讨它们背后的原理、适用场景以及那些官方文档里不会写的实操细节与避坑指南。2. 理解JSFuck它如何用六个字符构建世界在动手解密之前我们必须先理解JSFuck的编码原理。这不仅仅是解密的前提更能帮助我们在遇到变种或复杂情况时具备独立分析和解决问题的能力。JSFuck的核心思想是利用JavaScript语言中类型转换和运算符的“怪癖”从最基本的false、true、undefined、NaN、[object Object]等值中“提取”出构成任意字符串所需的每一个字符。2.1 基础构建块从布尔值到字符串一切始于两个最简单的值![]的结果是false。!![]的结果是true。通过运算符和数组[]我们可以将它们转换为字符串(![][])等于false。(!![][])等于true。现在我们有了两个字符串“false”和“true”。字符串可以通过下标[index]访问单个字符。例如false[0]是f。true[0]是t。但在JSFuck的语法里数字下标也需要用那六个字符构造出来。这就需要用到类型转换和数字的构造。2.2 构造数字类型转换的魔法在JavaScript中运算符在涉及不同类型时会触发类型转换。[]会将空数组转换为数字0因为空数组在转换为字符串时为而转换为数字是0。所以[]等于0。有了0我们可以通过!逻辑非和一元正或加法来构造其他数字。!0是truetrue是1。但更常用的方法是利用运算符的字符串连接特性![][]是0!0是truetrue是1。所以![]等于1。要得到2可以构造11。但1需要用JSFuck表示即![]。所以2是![] ![]。但直接相加会得到数字2我们需要的是字符串2来作为下标。更优雅的方式是利用数组和类型转换[![]]是一个包含数字1的数组[![]][]会得到字符串1。然后[![]][![]]进行字符串连接得到11取其长度[![]][![]][[]]…… 这个过程开始变得复杂。实际上JSFuck通常通过预定义的数字字符来构造其他数字下标例如从false中取a下标2从true中取r下标1等再组合成10、11这样的字符串最后用()或-[]等方式转换为数字。一个更直接构造小数字的例子![]![]![]是truetruetrue在数值运算中会被转换为112。但同样需要确保它在正确的上下文中被求值为数字。2.3 构造字符与函数调用通过组合false、true、undefined可通过[][[]]得到、[object Object]可通过[]{}得到等字符串并利用构造出的数字下标我们可以提取出几乎所有的字母、数字和符号。例如构造字母afalse[1]是a。在JSFuck中1是![]所以(![][])[![]]就得到了a。构造出字符后将它们拼接起来就能得到任意字符串。而要执行代码最关键的一步是构造函数调用。JSFuck通常利用[][filter]或[][constructor]这种方式来访问Array.prototype.filter或Function构造函数再将其转换为字符串从中提取出constructor这个单词的每一个字母最终拼出constructor。有了constructor就可以通过[][constructor]得到Array构造函数再通过[][constructor][constructor]得到顶层的Function构造函数。最后通过Function构造函数将我们拼接好的表示代码的字符串传入动态创建一个函数并立即执行就实现了任意JS代码的运行。文章开头那段“天书”其核心结构通常是[][filter][constructor](alert(1))()的JSFuck编码形式。理解了这套“从无到有”的构建体系我们就能明白任何JSFuck代码本质上都是一个巨大的表达式它最终会求值并执行一段隐藏的JavaScript代码。我们的解密目标就是安全、准确地得到那段被隐藏的原始代码。3. 方法一动态执行解密法——让浏览器自己“坦白”这是最直接、最快捷的解密方法其核心思想是既然JSFuck代码是有效的JavaScript那么直接把它扔给JavaScript引擎比如浏览器去执行然后捕获其输出或行为不就知道它是什么了吗3.1 浏览器的开发者工具Console这是我最推荐初学者使用的方法简单暴力且直观。操作步骤打开浏览器的开发者工具F12切换到Console控制台标签页。将完整的JSFuck代码粘贴到控制台中。按下回车键执行。可能的结果与处理直接输出结果如果JSFuck代码是类似console.log(hello)的编码那么控制台会直接打印出hello。弹窗或页面变化如果代码是alert(pwned)或修改了DOM你会看到弹窗或页面内容改变。这里要极度小心在不确定代码用途前切勿在重要网站或包含敏感信息的浏览器环境中执行未知JSFuck代码。最好使用一个全新的、无痕模式的浏览器窗口。返回一个函数或值有时代码执行后可能返回一个函数。你可以尝试在它后面加上toString()来查看函数体或者直接调用它如果它是个函数。例如执行后得到一个函数ƒ anonymous() { alert(1) }你可以再输入(这里显示的函数名).toString()查看其源码。注意安全第一动态执行法最大的风险在于你完全不知道这段代码会做什么。它可能是无害的alert(1)也可能是窃取Cookie、发起恶意请求、进行加密挖矿挖矿脚本甚至利用浏览器漏洞的恶意代码。绝对不要在生产环境、登录了重要账户的浏览器中执行未知来源的JSFuck代码。务必在隔离的虚拟环境、无痕模式或专门的检测沙箱中进行。3.2 利用Node.js环境执行对于不涉及浏览器特定对象如document,window,alert的纯逻辑JSFuck代码或者你想在命令行中自动化处理Node.js是个好选择。操作步骤创建一个新的JavaScript文件例如decode.js。将JSFuck代码赋值给一个变量或者直接使用eval谨慎。更安全的方式是利用vm模块创建一个隔离的沙箱环境。// decode.js - 相对安全的方式 const vm require(vm); const jsfuckCode [][(![][])[[]]...很长的一段代码...](); try { const script new vm.Script(jsfuckCode); // 创建一个受限的上下文可以限制访问权限 const context vm.createContext({ console: console, // 允许输出 // 可以按需暴露其他安全对象 }); const result script.runInContext(context); console.log(执行结果:, result); } catch (error) { console.error(执行出错:, error.message); }在终端中运行node decode.js。为什么用vm模块而不是直接eval直接使用eval或Function构造函数执行未知代码在Node.js中同样危险恶意代码可以访问文件系统fs、网络http、环境变量等。vm模块的runInContext或runInNewContext可以提供一个隔离的沙箱环境你可以控制暴露哪些全局对象给这段代码极大地提高了安全性。例如你可以不暴露require、process、__dirname等。动态执行法的优缺点优点速度快几乎无需思考对于大多数标准JSFuck编码的代码立竿见影。缺点安全风险高这是最大的弊端你必须承担执行未知代码的风险。无法处理反调试代码有些经过混淆或加固的JSFuck代码会包含反调试逻辑比如检测console、debugger关键字或者试图干扰开发者工具导致执行失败或无法看到清晰结果。对于非执行类代码不直观如果JSFuck编码的是一大段函数定义或一个复杂对象直接执行可能只返回一个函数引用你需要进一步操作如.toString()才能看到源码不够直接。4. 方法二静态分析解密法——像侦探一样拆解当动态执行法因安全顾虑或代码本身的反制措施而失效时静态分析就成了必由之路。这种方法不执行代码而是像解谜一样一步步分析JSFuck表达式的结构将其还原成可读的JavaScript。这需要更多的耐心和对JSFuck原理的理解。4.1 手动分步求值在控制台中这是最基础的静态分析适合较短或结构清晰的JSFuck代码。我们利用浏览器控制台的交互式特性对表达式进行逐层求值。操作步骤我们以构造字母a的简单例子(![][])[![]]来演示从内到外逐层分解先看最内层![]求值为false。(![][])即false []。false转字符串为false[]转字符串为字符串连接后得到false。再看下标部分![]。[]是0!0是truetrue是1。所以下标是1。最终false[1]得到字符a。对于长代码将一大段JSFuck代码复制到编辑器中寻找重复的模式或括号匹配将其拆分成多个子表达式。然后在浏览器控制台里从最小的、可独立求值的子表达式开始逐步替换。例如发现一段频繁出现的(![][])[![]]你可以在控制台先执行它得到结果a。然后在原始代码中用a替换所有(![][])[![]]注意字符串引号。这样代码长度和复杂度就大大降低了。重复这个过程逐步将复杂的JSFuck结构替换为简单的字符串、数字或函数引用。这个过程非常耗时但对于理解JSFuck的构造逻辑和应对变种混淆非常有帮助。4.2 使用专门的解密工具手动分析对于长代码是不现实的。幸运的是开源社区已经有一些优秀的JSFuck解密工具或称为“反混淆器”。推荐工具及使用方式在线解密网站搜索 “jsfuck decoder” 或 “jsfuck deobfuscator” 可以找到很多在线工具。你只需将JSFuck代码粘贴进去点击按钮即可得到解密结果。优点极其方便无需安装。缺点存在安全风险。你无法保证这些网站不会记录你提交的代码其中可能包含敏感信息。对于来源不明的JSFuck代码尤其是从可疑网站或邮件中获取的切勿使用在线工具解密以防源码泄露。本地命令行工具例如可以通过Node.js的npm安装一些本地包。虽然专门针对JSFuck的成熟工具不多但一些通用的JavaScript反混淆工具如js-beautify有时也能提供格式化帮助而更高级的工具如javascript-deobfuscator可能内置了对JSFuck等特定混淆模式的支持。使用示例假设有名为jsfuck-decode的cli工具npm install -g jsfuck-decode # 假设的包名 jsfuck-decode -i obfuscated.js -o decoded.js优点代码不离本地安全性高可集成到自动化流程中。缺点需要寻找、安装和信任特定的开源工具。集成到代码编辑器/IDE的插件有些编辑器插件支持简单的反混淆或代码格式化可能对解读JSFuck有帮助。静态分析法的优缺点优点绝对安全不执行代码零风险。可应对反调试无论代码里埋了多少检测debugger或干扰执行的陷阱静态分析都不受影响。深入理解通过分析过程你能彻底看清混淆的每一层对于学习JavaScript语言特性和代码混淆技术非常有价值。缺点速度慢尤其是手动分析极其耗时耗力。工具依赖自动化解密工具可能无法处理非标准或自定义修改过的JSFuck变种。复杂度高对于极其复杂、嵌套很深的JSFuck代码即使工具也可能解析失败或输出难以理解的结果。5. 实战解密流程与避坑指南结合两种方法我通常采用一种“动静结合由浅入深”的流程来处理遇到的JSFuck代码。5.1 标准操作流程SOP环境隔离首先打开一个全新的、无痕模式的浏览器窗口。关闭所有不必要的插件。这是你的安全沙盒。初步观察将JSFuck代码粘贴到一个文本编辑器如VSCode。粗略观察其结构是否包含明显的[][...][...](...)()模式这通常是函数构造和调用的标志。代码总长度是多少极长的代码可能功能复杂。尝试安全动态执行在无痕浏览器的控制台尝试执行一个最简单的片段比如代码的最后一部分可能是一个立即执行函数表达式。有时直接执行整段代码会触发恶意行为但执行其返回的函数先不调用并用.toString()查看会更安全。如果代码是(function(){...})()形式的JSFuck编码你可以尝试只执行(function(){...})部分去掉最后的调用括号得到函数体后再.toString()。使用本地工具静态分析如果动态执行有风险或失败立即转向静态分析。优先使用可离线运行的开源解密工具。将代码保存为文件在本地运行解密工具。如果工具解密成功仔细阅读输出。输出可能仍然是混淆的但层级更简单可能是eval、Function构造函数包裹着另一层字符串。手动辅助拆解对于工具解密后仍不清晰的部分或者工具解密失败的情况回到浏览器控制台进行手动分步求值。利用控制台的自动补全和查看对象功能。技巧对于形如[][filter]的访问你可以在控制台先计算filter这个字符串是如何拼出来的然后计算[][filter]得到function filter() { [native code] }再计算[][filter][constructor]得到function Function() { [native code] }。这样一步步把“黑盒”打开。验证与清理得到疑似原始代码的字符串后将其格式化使用Prettier或编辑器自带的格式化功能提高可读性。仔细审查解密出的代码确认其功能。如果是恶意代码分析其行为模式如请求的URL、操作的DOM元素等。5.2 常见“坑点”与应对策略坑点一无限循环或内存炸弹。有些JSFuck代码可能包含while(1){}或用于耗尽内存的递归。在动态执行时这会导致浏览器标签页卡死。应对在尝试动态执行前先设置执行超时。在控制台执行可能难以控制可以考虑写一个简单的HTML页面用setTimeout包裹执行代码并在超时后强制停止。或者直接采用静态分析法。坑点二检测执行环境。恶意代码可能会检查navigator.userAgent、window对象属性甚至检测开发者工具是否打开例如检查console对象的方法toString后的长度。如果检测不通过它可能不会执行核心逻辑或执行误导逻辑。应对在静态分析时注意寻找字符串拼接中可能出现的userAgent、console、debugger等关键词。在安全的动态环境中如Node.jsvm沙箱可以模拟一个纯净的环境对象传递给代码。坑点三多层嵌套与编码。JSFuck编码的代码本身其内部可能还包裹着另一层编码如Base64、AAEncode、JJEncode等或者解密出的代码是eval(atob(...))的形式。应对解密后如果得到的是eval(...)或Function(...)其参数往往是一个长字符串。将这个字符串提取出来它可能就是最终的Payload。如果这个字符串看起来像Base64以结尾字符集为A-Za-z0-9/就用atob解码如果像十六进制就尝试转换。准备好应对多轮解密的心理准备。坑点四代码被分割或动态生成。有时JSFuck代码不是完整的一段而是通过多个script标签或字符串拼接动态组合而成或者需要从页面DOM中提取某些值作为密钥。应对这种情况需要还原完整的执行上下文。静态分析可能更有效你需要像拼图一样找到所有代码片段。在浏览器中可以尝试在页面加载完成后在控制台查看全局变量或特定的DOM元素内容看是否有缺失的部分。6. 进阶当JSFuck遇上混淆与加固在实际的网络攻防或代码保护场景中单纯的JSFuck很少单独出现。它常常与其他混淆技术结合形成更强的保护。组合混淆先对原始JavaScript代码进行变量名混淆、控制流平坦化、字符串加密等操作然后再将混淆后的代码用JSFuck编码。这样即使你解密了JSFuck层得到的仍然是一堆难以阅读的混淆代码。自修改代码JSFuck代码执行后可能会动态修改自身或环境然后再执行真正的逻辑这给动态调试增加了难度。环境依赖代码的执行逻辑严重依赖浏览器特定的对象、属性或事件在Node.js沙箱中无法复现迫使分析者必须在浏览器环境中进行动态分析。面对这些情况静态分析的优势就凸显出来。你需要的是一个分层的解密策略第一层使用JSFuck解密工具或手动分析得到第一层解密后的代码。第二层识别第二层混淆的类型如控制流平坦化、字符串数组化、不透明谓词等。这时可能需要使用更专业的反混淆工具如基于AST抽象语法树分析的de4js等。第三层对解密出的代码进行人工审计理解其业务逻辑或恶意行为。这个过程对分析者的JavaScript语言功底和耐心是极大的考验。我个人的习惯是在静态分析到一定程度后会在一个高度可控的虚拟环境或“蜜罐”页面中尝试运行部分解密后的代码块通过观察其行为网络请求、DOM操作、控制台输出来辅助理解但这需要极其谨慎确保环境隔离。7. 不只是解密JSFuck的启示与应用处理JSFuck的过程不仅仅是一个“解谜游戏”它给我们带来很多关于JavaScript和Web安全的深刻启示。对JavaScript语言特性的再认识JSFuck极端地展示了JavaScript弱类型、动态类型转换的灵活性或者说“怪异”之处。理解这些特性不仅能帮助我们解密更能让我们在日常开发中避免写出可能产生隐式类型转换错误的代码理解各种“奇技淫巧”的原理。代码安全与混淆的博弈JSFuck是一种极致的混淆它虽然能增加代码的阅读难度但并不能提供真正的安全保护。因为它的解码过程是确定性的只要有合适的工具或耐心总能被还原。这提醒我们前端代码永远是公开的任何依赖代码混淆来保护敏感逻辑如加密算法、业务规则、API密钥的做法都是不可靠的。真正的安全应该建立在后端验证、HTTPS传输、合理的API设计等基础上。在CTF和漏洞分析中的价值在网络安全竞赛CTF中JSFuck常作为Web题目的一种形式出现考察选手的代码分析和JavaScript功底。在真实的漏洞分析中攻击者也可能使用JSFuck来隐藏漏洞利用代码Exploit以绕过简单的WAF规则或增加分析难度。作为防御方掌握JSFuck的解密技巧是安全分析师的基本功之一。最后分享一个我自己的小技巧当你面对一段特别复杂的JSFuck代码毫无头绪时不妨尝试在代码中搜索constructor这个字符串的JSFuck编码片段。因为绝大多数JSFuck代码最终都要通过Function构造函数来执行代码找到构造constructor的部分就相当于找到了通往最终Payload的“钥匙孔”。从那里开始逆向拆解往往会事半功倍。