能否对这个被混淆的 Lua 代码字符串进行反混淆?
2020-5-22 5:11:45
收藏:0
阅读:247
评论:1
我有另一段经过混淆的 lua 代码字符串。我想知道是否可能对其进行反混淆,或者找出它是如何被混淆的,因为我之前从未遇到过类似的东西。这个代码字符串据说是恶意的服务器端脚本执行器的主模块。了解其中的内容将有助于我们修补平台上的漏洞。我被告知,通过获取常量,很容易就能解密,因为它是基于 VM 的混淆,我们只需要在正确的方向上获得一点帮助。
代码相当庞大,因此在这里使用 pastebin。
pastebin com/dtfzBPZk
点赞
评论区的留言会收到邮件通知哦~
推荐文章
- Lua 虚拟机加密load(string.dump(function)) 后执行失败问题如何解决
- 我想创建一个 Nginx 规则,禁止访问
- 如何将两个不同的lua文件合成一个 东西有点长 大佬请耐心看完 我是小白研究几天了都没搞定
- 如何在roblox studio中1:1导入真实世界的地形?
- 求解,lua_resume的第二次调用继续执行协程问题。
- 【上海普陀区】内向猫网络招募【Skynet游戏框架Lua后端程序员】
- SF爱好求教:如何用lua实现游戏内调用数据库函数实现账号密码注册?
- Lua实现网站后台开发
- LUA错误显式返回,社区常见的规约是怎么样的
- lua5.3下载库失败
- 请问如何实现文本框内容和某个网页搜索框内容连接,并把网页输出来的结果反馈到另外一个文本框上
- lua lanes多线程使用
- 一个kv数据库
- openresty 有没有比较轻量的 docker 镜像
- 想问一下,有大佬用过luacurl吗
- 在Lua执行过程中使用Load函数出现问题
- 为什么 neovim 里没有显示一些特殊字符?
- Lua比较两个表的值(不考虑键的顺序)
- 有个lua简单的项目,外包,有意者加微信 liuheng600456详谈,最好在成都
- 如何在 Visual Studio 2022 中运行 Lua 代码?

Deobfuscating this one looks like it will be a slightly more manual process. As usual, the first things you should do are rename variables to have saner names, and add whitespace and indentation to the code. You can see a start to this at https://pastebin.com/eRTGAbTH. Once you do that, you'll see a pattern of functions like this:
现在,您可以开始消除虚假线索。例如,只要看到
#{这里有一堆东西},就可以计算出列表中的元素数量,并将整个列表替换为该数字。在这种情况下,末尾附近有一个这样的替换,我们可以用数字7替换它。接下来,看看SynapseXen_116。它唯一使用的地方是它的长度,因此您可以将其替换为其长度。现在,在那之后,注意到这是声明一个函数,然后立即调用它,因此您可以替换它的参数。继续走下去,直到揭示Lua-in-Lua VM的核心,然后很容易将Base64插入末尾,并查看它解码为哪种字节码。