fastjs
IDA Pro打开,可以在string窗口中发现quickjs字样。
通过main函数中的:
1 | lea rsi, unk_AA6A0 |
可知JavaScript字节码存储在unk_AA6A0
,且长度为0x8DD
。
将其dump出来,
1 | /* File generated automatically by the QuickJS compiler. */ |
可以使用 js_dump_function_bytecode(s->ctx, b);
让其输出字节码。
字节码:
1 | 0000: 02 3a 58 atom indexes { |
经过分析可知,输入字符串后,会对该字符串进行TEA加密,key为no_thing_is_true
,密文是05aed0ce441f80b5bc36af4c698509fc6cc3c97146353de5a95c6abea07fd4a7070932d86ac32d628672a59123e5972331db5dffe7057362
,对其解密即可。