先说说js中的constructor的用法,constructor属性返回对创建此对象的数组函数的引用。语法,Object.constructor
然后这里Object.constructor===Function这是恒等的关系。你可以在控制台试试,会返回true。

所以我们可以使用以下方式创建,并执行一个函数:
newFunction("alert(1)")();
也可以不要new关键字
Function("alert(1)")()
然后可以将Function转换下,这里"..."是一个任意字符串,也可以为空,然后"...".substr就是一个Object,所以这代码和上面是等效的。
"...".substr.constructor("alert(1)")()
再转换下,对象可以写成中括号的形式,比如a.b可以写成a['b']这样子。
"..."["substr"]"constructor"")()
然后由于在字符串全部转义,任意字符串js中都可以写成+ASCII码的8位形式,也就是查询到字母的ASCII码然后将其转换为8进制时候的结果。
"..."["\163\165\142\163\164\162"]"\143\157\156\163\164\162\165\143\164\157\162"()

好了,这样就可以不用任何字母执行一段js代码了。

也可以这样。
newFunction("alert(1)")();
等价于
[].constructor.constructor('alert(1)')()
等价于
[]['constructor']'constructor'')()
赋值个变量,缩短下代码,等价于
[][$='constructor']$')()
然后替换下所有字符串,等价于
[][$='\143\157\156\163\164\162\165\143\164\157\162']$')()

哈哈,好像比上面的还要短点。这个在有的xss绕过时候蛮有用的。

下面说说jsfuck的原理。
先看一段代码

[][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+!+[]]][([][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+!+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+!+[]]])[+!+[]+[+[]]]+([][[]]+[])[+!+[]]+(![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[+!+[]]+([][[]]+[])[+[]]+([][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+!+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+!+[]]])[+!+[]+[+[]]]+(!![]+[])+!+[]][+!+[]]+(![]+[])[!+[]+!+[]]+(!![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+!+[]]+(!![]+[])[+[]]+(![]+[][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+!+[]]])[!+[]+!+[]+[+[]]]+[+!+[]]+(!![]+[][(![]+[])[+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+!+[]]])[!+[]+!+[]+[+[]]])()

复制这段代码,放到谷歌浏览器控制台执行,可以看到弹1了,是不是很神奇,其实这段代码就是alert(1)在经过了N次变形的结果。
然后由于代码只用到了[]+!()6个字符而已,这个有个专业的名称,叫做jsfuck。

只是看这一堆代码,谁也不知道这是啥意思,也不知道是怎么来的,为啥就会执行alert(1),所以下面来给解释下原理。
[]等于创建了一个array对象,也就是一个数组,然后![]是取反,控制台直接执行这个会看到,返回了false。那么!![]也就是对false取反,会返回true。
下来再说一个知识,在js中等于关系有两种,==叫做等于,===叫做恒等。区别是这样,恒等的一定满足等于,但是反之则不一定成立,1+1===2,true,1,'1'是==的,false,0,'0'也是==的,还有像[],'',0,false也是==的关系。
还有个知识,就是字符串和数字相加,数字会自动转换为字符串类型,返回的结果会是字符串。字符串和数字相减,字符串会转换为数字类型,返回的会是数字。
还有一些特殊的,不是字符串也不是数字的时候,像true+true返回2,true+false会返回1。
所以 +true的结果是1,+false的结果是0。在结合上面说到的,这样+!![]表示的就是1,+![]表示的就是0了。

原理就是这样子,然后因为alert(1)可以写成,[]['constructor']'constructor'')(),所以只需要将关键字constructor和alert(1)对应的jsfuck对应的表达形式构造出来,在进行连接就可以了。由于不能用引号,所以这里括号也必须重新构造。

这里直接给出构造思路。那就是利用字符串的可以直接用下标进行读取的特性,比如字符串'abcd',那么'abcd'[2]就会返回'c'。
所以a怎么获取呢,因为![]代表的是fasle,所以![][1]就是'a',然后再将这里的1替换掉,就是![][+!![]],这时候你去试试会发现怎么返回的是true不是'a'啊。那是因为这里的![]不是字符串,所以需要将其先转换为字符串,很简单这样就可以了,(![]+[])[+!![]]控制台直接输入代码就可以看到效果。

其他的关键字的字符也都是这么慢慢转换过来的。这里就不在一一列举了,感兴趣的可以看这里有详细的构造思路。https://github.com/aemkei/jsfuck

点击收藏 | 0 关注 | 0
登录 后跟帖