从混淆到显而易见：面向安全分析的全面 JavaScript 去混淆工具

Source: arXiv - 2512.14070v1

概述

JavaScript 在网页上的普遍存在，使其成为攻击者的主要目标，后者在层层混淆之下隐藏恶意负载。论文 From Obfuscated to Obvious 介绍了 JSIMPLIFIER，一种全新的去混淆框架，旨在解决现有工具的不足——输入处理受限、技术覆盖面狭窄以及输出难以阅读——通过结合静态分析、动态追踪和大语言模型（LLM）驱动的标识符重命名。作者还发布了迄今为止规模最大的真实世界混淆 JavaScript 数据集，为社区提供了全新的基准。

关键贡献

• JSIMPLIFIER pipeline: 四阶段过程（预处理 → 基于 AST 的静态分析 → 动态执行追踪 → 基于 LLM 的重命名）。
• Comprehensive coverage: 处理 20 种不同的混淆技术，并对 100 % 的输入 进行处理，无论格式（压缩、打包或混合）如何。
• Multi‑dimensional evaluation metrics: 融合控制流/数据流分析、代码复杂度降低、熵测量以及基于 LLM 的可读性评分。
• Largest public dataset: 44,421 个真实世界样本（23,212 个恶意，21,209 个良性），在开源许可证下发布。
• Empirical superiority: 实现 代码复杂度降低 88.2 %，并且 可读性提升 >4 倍，相较于最佳已有工具，同时在精选测试子集上保持 100 % 正确性。

方法论

1. 预处理 – 规范化输入（例如处理不同的编码、剥离注释、检测嵌入的资源），以创建统一的代码库。
2. 基于 AST 的静态分析 – 将 JavaScript 解析为抽象语法树（AST），随后应用模式匹配和数据流分析，以识别并简化典型的混淆构造（字符串编码器、控制流平坦化、死代码）。
3. 动态执行追踪 – 在沙箱环境（Node.js + Chrome V8）中执行代码，同时记录运行时值、分支结果和副作用。此步骤解决了静态无法简化的构造（例如通过 eval 运行时生成的代码）。
4. LLM 增强的标识符重命名 – 将部分去混淆后的代码输入经过微调的 LLM（如 GPT‑4），让其根据上下文、使用模式和常见命名约定，建议人类可读的变量/函数名称。随后将这些建议与控制流图进行验证，以避免破坏语义。

整个流水线由轻量级控制器编排，当进一步简化可能时，会将某一阶段的输出迭代地反馈到前一阶段，确保在最终输出前实现最大程度的简化。

结果与发现

作者还进行了一项用户研究，让安全分析师在 5 分 Likert 量表上对去混淆后的输出进行评分；JSIMPLIFIER 的平均得分为 4.3，而最接近的竞争者为 2.7。大规模数据集使评估具有统计学上的稳健性，证实该工具能够扩展到真实世界的流量规模。

实际意义

• Threat hunting & incident response – 分析人员可以直接将可疑脚本输入 JSIMPLIFIER，获取干净、可读的代码，从而显著缩短理解负载行为所需的时间。
• Automated sandboxing pipelines – 安全平台（例如 Cuckoo、VirusTotal）可以将该工具集成到预处理步骤中，提高对高度混淆恶意软件的检测率。
• Secure development tooling – 构建时的代码检查器可以使用静态分析组件，在部署前标记意外混淆的代码（例如来自第三方库的代码）。
• Compliance & code‑review automation – 企业可以在代码库上运行 JSIMPLIFIER，以确保交付的 JavaScript 包中不存在隐藏的、可能具有恶意性的转换。
• Research acceleration – 已发布的数据集和评估框架为社区提供了统一的基准，促进可重复的研究，并支持对新去混淆技术的快速迭代。

限制与未来工作

• 动态分析开销 – 在沙箱中执行每个脚本会增加延迟；作者指出在高吞吐量环境下可能需要采用选择性的“先静态后动态”模式。
• LLM 依赖性 – 标识符重命名的质量取决于底层 LLM；专有模型可能限制可重复性或增加成本。
• 规避军备竞赛 – 高级攻击者可能采用反沙箱技巧（例如时间检查），从而绕过动态追踪阶段。
• 语言范围 – 当前实现侧重于 ECMAScript 5/6；对新特性（如 async/await、模块）的支持仅部分实现。

未来方向包括使用轻量级插装优化动态追踪阶段，探索开源 LLM 替代方案用于重命名，并扩展对现代 JavaScript 语法和新兴混淆模式（例如基于 WebAssembly 的载荷）的支持。

作者

• Dongchao Zhou
• Lingyun Ying
• Huajun Chai
• Dongbin Wang

论文信息

• arXiv ID: 2512.14070v1
• 分类: cs.CR, cs.SE
• 出版时间: 2025年12月16日
• PDF: 下载 PDF