JS逆向补环境：原型链伪造与反检测实战

1. JS逆向补环境的核心挑战与解决思路

在Web逆向工程领域，补环境（Environment Simulation）是最基础也最关键的技能之一。当我们需要分析或调用经过混淆保护的JavaScript代码时，经常会遇到各种环境检测机制。这些检测会检查浏览器对象、DOM结构、API行为等特征，一旦发现异常就会触发反爬或反调试措施。

原型链（Prototype Chain）作为JavaScript的核心机制，常常成为环境检测的重点目标。一个典型的检测场景可能是这样的：

javascript复制if (navigator.userAgent.indexOf('Chrome') > -1 && 
    !window.chrome) {
    throw new Error("Environment mismatch detected!");
}

这种检测利用了原型链的特性 - 如果我们在补环境时只是简单声明navigator = {}，而没有正确构建原型链关系，就会导致userAgent等属性访问异常。更复杂的情况可能涉及多层原型继承、属性描述符（Property Descriptor）校验，甚至是方法调用的行为特征检测。

2. 原型链伪造的底层原理与实践

2.1 JavaScript原型链工作机制

在开始伪造前，必须深入理解原型链的工作机制。每个JavaScript对象都有一个隐藏的[[Prototype]]属性（可通过__proto__或Object.getPrototypeOf()访问），当访问对象属性时，如果对象自身不存在该属性，引擎就会沿着原型链向上查找。

以navigator对象为例，其完整的原型链结构如下：

code复制我们的伪造对象 → Navigator.prototype → Object.prototype → null

2.2 深度伪造实现方案

要实现完美的原型链伪造，需要分步骤构建：

javascript复制// 1. 创建基础对象
const fakeNavigator = {};

// 2. 设置正确的原型链
Object.setPrototypeOf(fakeNavigator, Navigator.prototype);

// 3. 填充必要属性
Object.defineProperties(fakeNavigator, {
  userAgent: {
    value: 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36...',
    writable: false,
    configurable: false,
    enumerable: true
  },
  // 其他属性...
});

// 4. 伪造方法
fakeNavigator.javaEnabled = function() {
  return false;
};

关键点在于：

• 使用Object.setPrototypeOf确保原型链正确
• Object.defineProperties可以精确控制属性特性
• 方法伪造需要考虑this绑定问题

2.3 特殊情况的处理

某些属性可能存在于原型链的中间层级，比如Notification.permission。这种情况需要更精细的控制：

javascript复制// 伪造Notification对象
const fakeNotification = Object.create(Notification.prototype, {
  permission: {
    value: 'default',
    writable: false,
    configurable: false
  }
});

// 需要同时伪造静态属性
fakeNotification.requestPermission = function() {
  return Promise.resolve('granted');
};

3. 属性与方法的高级伪造技巧

3.1 属性描述符的完美复制

环境检测常常会检查属性的描述符特性。我们可以通过以下方式获取并复制原始属性描述符：

javascript复制const originalDescriptor = Object.getOwnPropertyDescriptor(
  Navigator.prototype, 
  'userAgent'
);

Object.defineProperty(fakeNavigator, 'userAgent', {
  ...originalDescriptor,
  value: '我们的伪造UA字符串'
});

3.2 getter/setter方法的处理

许多浏览器API使用getter方法实现属性访问，例如：

javascript复制Object.defineProperty(History.prototype, 'length', {
  get: function() {
    return getHistoryLength();
  },
  enumerable: true,
  configurable: true
});

伪造这类属性时，必须同样使用getter：

javascript复制Object.defineProperty(fakeHistory, 'length', {
  get: function() {
    return 1; // 伪造的历史记录长度
  },
  enumerable: true,
  configurable: true
});

3.3 方法的深度伪造

方法伪造不仅要考虑返回值，还要考虑：

• 调用时的this指向
• 方法的length属性（参数个数）
• 可能存在的重载情况

javascript复制fakeElement.getBoundingClientRect = function() {
  // 确保this指向正确
  if (!(this instanceof HTMLElement)) {
    throw new TypeError("Illegal invocation");
  }
  
  return {
    x: 0,
    y: 0,
    width: 100,
    height: 100,
    // ...其他标准属性
  };
};

// 保持方法的length属性
Object.defineProperty(fakeElement.getBoundingClientRect, 'length', {
  value: 0,
  writable: false
});

4. 实战案例：完整补环境方案

4.1 iframe环境伪造

针对热词中提到的"iframe+关闭+jquery+并刷新+父页面+js"场景，我们需要构建完整的iframe环境：

javascript复制const fakeIframe = document.createElement('iframe');
document.body.appendChild(fakeIframe);

// 伪造iframe的contentWindow
const fakeContentWindow = {};
Object.setPrototypeOf(fakeContentWindow, Window.prototype);

// 伪造parent和top属性
Object.defineProperties(fakeContentWindow, {
  parent: { get: () => window },
  top: { get: () => window },
  self: { get: () => fakeContentWindow }
});

// 将伪造对象挂载到iframe
Object.defineProperty(fakeIframe, 'contentWindow', {
  get: () => fakeContentWindow,
  configurable: false
});

// 处理jQuery检测
fakeContentWindow.$ = function(selector) {
  // 简化版jQuery伪造
  return {
    click: function() {},
    hide: function() {},
    // ...其他方法
  };
};

4.2 典型反爬措施的绕过

针对"大麦逆向"、"akamai逆向"等场景，常见的检测点包括：

1. WebGL渲染检测：

javascript复制const fakeCanvas = document.createElement('canvas');
const gl = fakeCanvas.getContext('webgl');

// 修改WebGL指纹
const originalGetParameter = WebGLRenderingContext.prototype.getParameter;
WebGLRenderingContext.prototype.getParameter = function(pname) {
  if (pname === 0x9245 /* UNMASKED_VENDOR_WEBGL */) {
    return 'Google Inc. (NVIDIA)';
  }
  return originalGetParameter.call(this, pname);
};

2. 字体枚举检测：

javascript复制const originalGetFonts = Document.prototype.fonts;
Document.prototype.fonts = {
  get: function() {
    return {
      ready: Promise.resolve(),
      check: () => true,
      values: () => []
    };
  }
};

5. 调试与验证技巧

5.1 原型链完整性检查

使用以下方法验证原型链伪造是否成功：

javascript复制function checkPrototypeChain(obj, expectedChain) {
  let current = obj;
  for (const proto of expectedChain) {
    current = Object.getPrototypeOf(current);
    if (current !== proto) {
      return false;
    }
  }
  return true;
}

// 示例验证
checkPrototypeChain(fakeNavigator, [Navigator.prototype, Object.prototype, null]);

5.2 属性描述符验证

确保属性特性与原生一致：

javascript复制function compareDescriptors(obj, prop, nativeObj) {
  const fakeDesc = Object.getOwnPropertyDescriptor(obj, prop);
  const nativeDesc = Object.getOwnPropertyDescriptor(nativeObj, prop);
  
  return {
    valueMatch: fakeDesc.value === nativeDesc.value,
    writable: fakeDesc.writable === nativeDesc.writable,
    enumerable: fakeDesc.enumerable === nativeDesc.enumerable,
    configurable: fakeDesc.configurable === nativeDesc.configurable
  };
}

5.3 行为测试

模拟真实调用场景：

javascript复制function testMethodBehavior(method, testCases) {
  return testCases.map(testCase => {
    try {
      const result = method.apply(testCase.thisArg, testCase.args);
      return {
        success: true,
        result,
        matchesExpected: testCase.validator(result)
      };
    } catch (e) {
      return {
        success: false,
        error: e,
        matchesExpected: testCase.expectsError
      };
    }
  });
}

6. 常见问题与解决方案

6.1 Illegal invocation错误

这是原型链伪造不完整的最常见表现。解决方案：

1. 确保方法被正确绑定到伪造对象上
2. 检查方法的this检查逻辑：

javascript复制const originalMethod = SomeClass.prototype.method;
SomeClass.prototype.method = function(...args) {
  if (!(this instanceof SomeClass)) {
    throw new TypeError("Illegal invocation");
  }
  return originalMethod.apply(this, args);
};

6.2 属性访问顺序问题

某些检测会遍历原型链检查属性存在性：

javascript复制// 错误方式 - 属性只在实例上
fakeObject.someProperty = 'value';

// 正确方式 - 在原型链正确位置定义
Object.defineProperty(SomeClass.prototype, 'someProperty', {
  value: 'value',
  enumerable: true
});

6.3 动态属性检测

一些高级检测会监控属性访问：

javascript复制const realConsole = console;
console = new Proxy({}, {
  get(target, prop) {
    if (prop === 'log') {
      return function() {
        // 可以在这里过滤敏感日志
        realConsole.log.apply(realConsole, arguments);
      };
    }
    return realConsole[prop];
  }
});

7. 进阶技巧与性能优化

7.1 惰性初始化

对于大型环境，可以采用惰性初始化提升性能：

javascript复制const lazyHandler = {
  get(target, prop) {
    if (!(prop in target)) {
      // 按需初始化属性
      target[prop] = initializeProperty(prop);
    }
    return target[prop];
  }
};

const lazyNavigator = new Proxy({}, lazyHandler);

7.2 沙箱环境隔离

使用iframe创建真实隔离环境：

javascript复制const sandbox = document.createElement('iframe');
sandbox.style.display = 'none';
document.body.appendChild(sandbox);

const sandboxWindow = sandbox.contentWindow;

// 修改sandbox环境
sandboxWindow.eval(`
  window.navigator = ${JSON.stringify(fakeNavigator)};
  // 其他修改...
`);

// 在沙箱中执行目标代码
const result = sandboxWindow.eval(targetCode);

7.3 Web Worker环境伪造

对于Worker环境的检测：

javascript复制const originalWorker = window.Worker;
window.Worker = class FakeWorker {
  constructor(url) {
    this.url = url;
    this.onmessage = null;
  }
  
  postMessage(data) {
    // 处理消息...
  }
  
  terminate() {
    // 清理逻辑...
  }
};

// 保持原型链
Object.setPrototypeOf(window.Worker, originalWorker);
Object.setPrototypeOf(window.Worker.prototype, originalWorker.prototype);

8. 工具与资源推荐

8.1 调试工具

1. Proxy Monitor：监控对象属性访问

   javascript复制function createMonitor(obj) {
     return new Proxy(obj, {
       get(target, prop) {
         console.log(`Accessing ${prop}`);
         return target[prop];
       }
     });
   }
   

2. Descriptor Inspector：检查属性描述符

   javascript复制function inspectDescriptors(obj) {
     return Object.getOwnPropertyNames(obj).map(prop => {
       return {
         property: prop,
         descriptor: Object.getOwnPropertyDescriptor(obj, prop)
       };
     });
   }
   

8.2 实用库

1. puppeteer-extra-plugin-stealth：参考其环境伪造实现
2. jsdom：学习其Web标准实现方式
3. core-js：参考其polyfill实现

8.3 学习资源

1. ECMAScript规范：了解标准行为
2. Chrome源码：研究浏览器原生实现
3. WebIDL规范：理解接口定义方式

9. 法律与道德考量

在进行任何逆向工程前，必须注意：

1. 严格遵守目标网站的服务条款
2. 仅用于合法学习与研究目的
3. 不要绕过付费墙或侵犯版权内容
4. 控制请求频率，避免对目标服务器造成负担

在实际项目中，我通常会建立严格的白名单机制，确保只补环境不越界：

javascript复制const SAFE_METHODS = ['toString', 'valueOf', 'hasOwnProperty'];

function createSafeHandler(original) {
  return {
    get(target, prop) {
      if (SAFE_METHODS.includes(prop)) {
        return target[prop];
      }
      throw new Error(`Access to ${prop} is restricted`);
    }
  };
}