在刚刚结束的Defcon 2008上，Kolisar为我们展示了一种非常有创意的JS代码变形方法。
一篇介绍这种技术原理的blog在这里， Kolisar在大会上展示的PoC代码在这里，PPT在这里。
好了，给了一堆的链接，下面来谈谈我对这种新变形技术的一点体会。
首先，对于网页挂马的检测者来说，对于eval、document.write()、畸形长字符串等都是非常敏感的。 一般来说，在网页中出现这样一些特征语句时，往往就是一些挂马语句。更不用说如果直接出现类似<iframe src=”xxx.html” style=”display:none”/>这样的赤裸裸语句了。所以，Kolisar采用了遍历和枚举dom对象的方法来一步一步的获得对document对象的引用句柄和document对象的write方法和getElementById方法的使用。获取当前窗口对象句柄最直接的方法就是h=this。
接下来，从window对象开始，依次通过一些字符串长度和特征字节位的比较而获得document对象、document对象中的write、getElementById方法，并用数组来存储获得的这些对象和方法的句柄引用。不过经过我的测试，在IE 8 (beta 2)中 使用h[i][j](‘p’)这种方法访问dom节点是无效的，在FF 3.0.1中倒是测试可以通过。这应该是一个browser specific的特性。所以，这是该技术方法的一个约束条件。
有了这些对象和对象方法之后，接下来是如何读取并执行“嵌入的代码”了。Kolisar嵌入代码的方法非常特别，这也是他的这个Javascript变形技术的最具创新意味的地方。他把代码直接隐藏在了自己的解密代码之中！而所谓的隐藏代码就是空格和tab！将解密代码用鼠标选中反白之后，可以发现，从h=this;这行代码开始，后面几十行的代码的结束处都有一些留白。把鼠标定位到这些留白之后，通过方向键移动光标，我们可以清楚的看到这些空白是由一串有“规律”的tab和空格组成！对，就是空白！tab和空白的交替出现，代表了0、1字符串！这就是比特编码！再数一下这个空格和tab的数目，你又会发现，一定是每行各出现8次由空格和tab组成的空白！
说到这里，我们终于明白了。所谓的恶意代码其实就是一堆“空白”！这种方法，不仅可以逃过过滤程序的静态检测，就连专业安全分析人员的眼睛也无法发现它们！谁能想到一堆空白中其实蕴藏的就是恶意代码呢？
这个技术相当的不错，相信很快就能在网上看到利用这种技术来挂马的实例了，呵呵。
