JavaScript obfuscator
مُعاد التسمية، مُشفَّر، وما زال يعمل

ماذا يفعل JavaScript obfuscator

يسلّم الكود المصدري شيئين معًا: ماذا يفعل البرنامج وكيف يفعله. لذلك يحصل القارئ الذي يستلم وحدة على المنطق مجانًا.

يفصل الـ obfuscator الاثنين. يحافظ هذا الـ JavaScript obfuscator على السلوك ويزيل الأسماء والنصوص الحرفية والأرقام البسيطة.

يعمل من شجرة الصياغة لا من النص. وبما أن الشجرة تعرف أصلًا أي اسم متغير وأيه خاصية، يمكن للمُعيد التسمية أن يعمل حسب النطاق لا عالميًا.

أربعة تحويلات تقع خلف محرر واحد، وكل منها مربع تأشير. لذلك يمكنك إعادة تسمية برنامج وحده، أو تشغيلها كلها لقراءة أصعب كثيرًا.

لا شيء يُشغَّل ولا يُرفع. وبما أن القارئ يحلل الوحدة ويعيد كتابتها فقط، فإن برنامجًا تحت بند سرية لا يختلف هنا عن برنامج عام.

كيف يعيد JavaScript obfuscator كتابة سكربت

تبني التمريرة الأولى شجرة الصياغة، تمامًا كما يفعل المدقق. والقاعدة هي ECMA-262، لذلك تطابق الشجرة ما قد يبنيه المحرك.

من الشجرة يمر المُعيد التسمية بكل نطاق بدوره. فيأخذ كل من المعامل والمتغير المحلي واسم الدالة واسم الصنف اسمًا غامضًا جديدًا، من مدى لا يمكن أن يتصادم مع اسم مستخدم بالفعل.

شيئان يُتركان عمدًا. خاصية كائن ليست متغيرًا، لذلك تحتفظ obj.userName بهجائها. والاسم الذي يمتد خارج الوحدة، كاسم مُصدَّر أو عنصر عام تستدعيه الصفحة، يبقى أيضًا، إلا أن تُفعّل إعادة تسمية المستوى الأعلى.

تنتج كل تمريرة شجرتها الخاصة بدل تحرير النص. ولا يعمل الكاتب إلا في النهاية، لذلك لا يُعاد كتابة برنامج لا يُحلَّل نصف كتابة أبدًا.

تعيد الخطوة الأخيرة تحليل الناتج. وبما أن الـ obfuscator يقرأ نتيجته قبل عرضها، فإن تمريرة أنتجت شيفرة غير صالحة تعيد لك ملفك الأصلي.

التحويلات الأربعة، بالترتيب الذي تعمل به

إعادة التسمية تعمل أولًا. تصبح المعاملات والمتغيرات المحلية وأسماء الدوال والأصناف أسماءً غامضة قصيرة مثل _0x1a2b، بنطاق يجعل دالتين تستخدمان الاسم نفسه بأمان. وتبقى الأسماء المُصدَّرة وأسماء المستوى الأعلى إلا أن تطلبها كذلك.

تمريرة النصوص تعمل بعدها. تنتقل كل سلسلة حرفية إلى مصفوفة في الأعلى، ويصبح كل استخدام بحثًا بالفهرس عبر وسيط صغير يدوّر الترتيب. وبما أن النصوص لم تعد بجانب الشيفرة التي تقرأها، يكفّ البحث عن رسالة عن إيجاد أي شيء مفيد.

يتبع ذلك تشفير الأرقام. يُطبع كل عدد صحيح بسيط بالنظام الست عشري، فيصبح 1000 هو 0x3e8. القيمة لا تتغير؛ لكن الأرقام تكفّ عن القراءة كرقم مألوف.

يأتي الضغط أخيرًا. تمر الوحدة كلها عبر المصغِّر، الذي يزيل التعليقات والمسافات، لذلك يصبح الناتج كتلة كثيفة بدل أسطر مرتبة.

ما لا يفعله التشويش

لا يخفي شيفرتك عن قارئ مُصرّ. فكل تحويل هنا قابل للعكس من حيث المبدأ، ولأغلبها أداة موجودة.

لا يحفظ سرًّا آمنًا. المفتاح المُترجَم داخل سكربت المتصفح مفتاح يملكه المتصفح، وكل من يحمّل الصفحة يستطيع قراءته. وبما أن التشويش يرفع الجهد فقط، فإن مفتاح API يبقى على خادم.

لا يمنع النسخ. ما زال بإمكان أحد أن يحفظ ملفًا معاد الكتابة ويقدّمه ويشغّله. والرخصة والعقد هما ما يعالج ذلك، وليس أي منهما خطوة بناء.

لا يجعل وحدة أسرع، وقد يبطّئها. وبما أن عمليات البحث في النصوص تكلّف بعض العمل وقت التشغيل، فالمقايضة قراءة أسهل مقابل بضعة أجزاء من الثانية.

ولا يحمي شيفرة على الخادم أيضًا. فمن يملك وصولًا للجهاز يملك الملف الأصلي، مهما تلقى المتصفح.

بادئة الاسم وإبقاء الناتج صالحًا

بادئة الاسم هي الإعداد الوحيد خلف المربعات، وهي موجودة لتجنّب تصادم. فمولّد يُصدِر مساعدًا اسمه a أو b قد يتصادم مع عنصر عام في الصفحة، لذلك تزيل بادئة قصيرة مميزة مثل _0x الخطر.

تبقى إعادة تسمية المستوى الأعلى مطفأة افتراضيًا. الشيفرة الملصوقة غالبًا وحدة كلاسيكية، حيث تصبح دالة المستوى الأعلى خاصية على window يستدعيها ملف آخر بالاسم، وإعادة تسميتها هناك ستكسر مستدعيًا لا يراه الـ obfuscator.

داخل وحدة أو IIFE لا يصل شيء من الخارج إلى تلك الأسماء، لذلك تفعيل إعادة تسمية المستوى الأعلى هناك آمن ويخفي أكثر بكثير.

ينتهي كل تشغيل بتحليل ناتجه. وبما أن الـ obfuscator يقرأ نتيجته قبل عرضها، فإنه يبلّغ عن تحويل أنتج شيفرة غير صالحة بدل تسليم الشيفرة.