edge 商店里的 Proxy SwitchyOmega 是李鬼

[Jat001]

闲得无聊来扒下皮

首先用 beyond compare 比较一下李鬼跟原版有什么区别，发现 background.html 里多引了一个脚本 js/pic.js


打开 pic.js 看核心代码，用 String.fromCharCode.apply 把 ascii 转回字符串，发现这里实际上是又加载了一个脚本 img/logo.png


把 logo.png 的扩展名改为 html 然后用浏览器打开就会发现这个文件前半部分是 png，后半部分是纯文本。图片浏览器会忽略后半部分，所以仍然可以当作图片正常打开。上面那段代码就是寻找脚本的关键字（ sojson ），截取后半部分


所以这段脚本到底是干嘛的呢?由于太长了直接拉到最后


\x73\x70\x6c\x69\x74 是 split，正则 /[a-zA-Z]{1,}/ 是 split 的参数，这一大串其实就是用字母分隔的 ascii 数组，把字母去掉然后用 String.fromCharCode.apply 转回字符串，李鬼现行了

https://gist.github.com/jat001/b10d12eee207c380246e7be74f8e6ed6

[snw]

巨硬真是从来没对商店上心过。很久以前的 WP 商店就是李鬼横行。

[lilydjwg]

@Jat001 #58 Mozilla 不推荐混淆，并且要求提供混淆前的代码用于重现。所以实现应该是这样的：程序发现代码经过混淆，转人工，人工没收到混淆前的代码，直接打回去。（当然这是我觉得合理的推测，Mozilla 是怎么实现的我不清楚。）

[Jat001]

@lilydjwg 最关键的一步你倒是省略了……要是有程序能理解代码逻辑，那编程 AI 早实现了

[lilydjwg]

@Jat001 不是我省略了，而是不存在。程序应该只是行为分析，看看调用了些什么 api，有没有很容易发现的违规操作，就跟杀毒软件差不多。不确定的就交给人类。

[Jat001]

@lilydjwg #64 这脚本也没什么特殊行为啊，就是修改页面，很多扩展都会修改页面，甚至一些比价插件也会往页面插入返利网站的链接，靠程序根本没法区分。

我之所以能发现问题，一是有原始代码供对比，二是上传扩展的人明显就是个脚本小子，这些混淆都是用工具生成的，特征太明显了，正常人根本不会这么写代码。但如果是一个程序员想上传恶意扩展呢，都不需要技术多么牛逼，把代码写得跟屎一样就行，再加一堆没用的代码，谁能审核出来，总不能因为代码写得烂就拒绝上架吧

[lilydjwg]

@Jat001 混淆就是特殊行为啊。为什么不能因为代码太垃圾就拒绝上架？想对抗审核，最好的策略是故意留下不那么容易发现的 bug 。

[sc104501]

受害者+1，感谢楼主

[ryh]

at 一下微软的 v 友 @formulahendry

[Jat001]

@lilydjwg 之前不是说了根本没有程序可以区分代码是否用了混淆吗？除了这种特征明显，用公开工具生成的混淆代码。我写一个变量和函数名全是用拼音，冗余代码一堆，完全没有代码复用，全是复制粘贴，就算放 github 上也没人想看的那种代码，这算不算混淆？有任何规定说代码写的烂不允许上架吗？你确定这样搞能触发人工审核吗？而且我都怀疑 Mozilla 有那人力搞人工审核吗？

杀毒软件不也是靠特征码，比如我写个程序上传用户数据到我自己的服务器，杀毒软件能做的无非是在程序访问敏感文件的时候拦截，最终判断还是交给用户，但用户也不知道程序访问文件是否正常啊，比如搜索程序访问文件是很正常的行为，但要是这搜索程序还附带偷偷上传文件的功能呢？另外像用到了 p2p 技术的下载软件和网盘程序，读取文件并上传大量数据都是很正常的行为，如何把这种程序跟故意上传用户隐私的程序区分开呢？

说到底，这种连普通用户都无法区分的行为，不要指望靠机器来识别。无论是浏览器扩展的应用商店还是手机 app 的应用商店，都没有那么多人力来人工审核代码，现在大家做的无非就是细化各种权限，最终交给用户来决定是否给予相应的权限。

[lilydjwg]

@Jat001 原来你在纠结这个。ml 一个分类器就可以搞定常见的工具了，简单的直接抓 eval 也不是不可以。当然精心设计的不容易抓到，但那种的成本也高。

[lilydjwg]

@Jat001 另外是有规定看不懂的烂代码不允许上架的：「 Code is considered obfuscated if the logic and meaning is transformed in a way intended to make it difficult for a human to understand or reverse-engineer.」

[Jat001]

@lilydjwg #70 我不是纠结这个，我是想说人工审核的成本太高了，连谷歌和微软都没能力搞的事情，mozilla 也没能力搞。而且为啥要直接写 eval 给人抓现行呢，来看看高手怎么玩的



当然，这里的 jquery 是被人魔改后的，490837..toString(32) 估计也不是这个人发明的

[kevinle]

@legend4 SmartProxy 没有什么人用啊, 商店看只有 4000+的用户

[lilydjwg]

@Jat001 你怎么知道 mozilla 没能力搞呢？难道我遇到的人工审核都是假的？

[lilydjwg]

@Jat001 那个图片是 jpeg，太糊了根本看不清。

[maketime4life]

幸好我装的是 Chrome Web Store 里的

[maketime4life]

作者都不一样啊，稍微注意点就不会安装

[youthfire]

感谢,已经把 edge 商店所有扩展换为 Chrome 商店里的

[Jat001]

@lilydjwg 点开图片就能看到大图，可以放大的，一点也不糊
你不会真的以为 Mozilla 会雇一堆工程师一行行审核代码吧，比如这个扩展，在没有原始代码的情况下，一个个文件找要多久。我估计那些审核都是黑盒的，不可能一行行审计代码

[okampfer]

LZ 厉害！

从 Chrome 商店安装是安全了，但问题是同步这些扩展就需要翻 qiang 了。