Как достать выполняемый JS из node?

Question

[Alex Wells]

Здравствуйте. Есть линуксовый бинарник, написан на C++, юзает v8 node отсюда. Собственно его задача - запускать сервер, написанный на JS, содержащийся в нем же (как-то зашифрован). Файл без дебаговой инфы, в IDA и дампе памяти HxD нашел код самой ноды, но никаких упоминаний исходников самого сервера. Никаких исходящих HTTP запросов не делает, никаких других библиотек (кроме стандартных) - не подключает, проверил через GDB + /proc ls.

Так же нашел вот такую штуку:
Две строки в конце - API функции того самого JS сервера, которые он пихает в глобальную переменную. Так же сервер имеет возможность подгрузки кастомных скриптов на JS. Цель - достать исходники, но я не знаю в каком направлении дальше двигатся :(

UPD: а еще вот такая штука нашлась дебагером, это точно тот код, что мне нужен. Но проблема в том, что его нельзя скопировать или расширить (там только первых строчек 20 максимум), подскажите пожалуйста:

Comments

[rustler2000]

Ищи где v8::Script::Compile - в него передается js текст на компиляцию

[Alex Wells]

rustler2000, нашел. Сейчас попробую с помощью GDB хукнуть ее, что бы выводить результаты в консоль.

[Alex Wells]

rustler2000, ф-ию нашел только в версии под винду, так как там почти все вынесено в отдельный .dll.

Отбросить первую, возможно вторую, но с третьей я точно не знаю что делать. Полазил в коде движка, пишут что Script::Compile - это лишь алиас и он депрекейтед, в общем лучше юзать ScriptCompiler::Compile. Но сути не меняет, ибо я не знаю как добавить вывод дебаговой инфы ДО запуска приложения (

[rustler2000]

Alex Wells, ну так если сервер через dll хром пользует - просто пересобери dll для себя - вставь там сохранения параметров и радуйся.

[Alex Wells]

rustler2000, дело в том, что я не знаю где именно находится нужный мне код - в .dll или .exe. Сейчас попробую собрать v8 и сравнить размер.

[Alex Wells]

rustler2000, оригинальная нода - 21340КБ, та дллка - 22083КБ.

Попробовал подменить дллку оригинальной -

Собирал я версию 9.3.0, в оригинале тоже была 9.3.0 (проверил через node inspect). Значит либо 700КБ занимает исходник сервера, вшитый туда, либо я чего-то не понимаю =/

Вот v8::Script::Compile с одними и теми же параметрами, но разной реализацией:

[Alex Wells]

По сути есть два варианта: добится компиляции ноды в таком же виде, как и дллка ЛИБО как-то дебагнуть/добавить дебагные строчки в дллку. Прошу помощи)

[Сергей Сергей]

если дебажить не из движка ноды, а из её стандартных js-библиотек?

[rustler2000]

Alex Wells, хукай метод - https://www.apriorit.com/dev-blog/160-apihooks или любой другой туториал для DLL hook. В хуке просто в файл скидывай текст.

[Alex Wells]

Сергей Сергей, я пытался, даже дампил memory heap, но там валялись только превьюшки кода. А так чисто отдебажить C++ метод из под ноды я не знаю как, сомневаюсь, что такое возможно(

[Alex Wells]

rustler2000, нашел такой, вместе с видео туториалом: https://github.com/Zer0Mem0ry/Detour/blob/master/d...

Собственно переделал под себя, нашел сигнатуру метода, но не могу скомпилить: https://pastebin.com/AKxRbya1

Хотя либа подключена. Я не использую VS в работе, как автор, а при попытке скомпилить вручную minGW - проблемы еще хуже.

[Alex Wells]

rustler2000, все таки заставил MinGW это компилить, теперь такой трабл:
d:/programmingnew/win-builds/bin/../lib64/gcc/x86_64-w64-mingw32/4.8.3/../../../../x86_64-w64-mingw32/bin/ld.exe: skipping incompatible D:/Detour-master/dll/detours.lib when searching for -ldetours

Почему компилер не хочет использовать эту библиотеку? Я прямо конкретно на нее указал в CMakeLists

[rustler2000]

Alex Wells, no can do - давно уже без венды слава богу

[Alex Wells]

rustler2000, пхха, ну я тоже не фанат. Но в любом случае же нужна винда для detours.

Другие варианты хуукинга для меня, как для человека, знающего C++ на уровне догадок из опыта других языков и базовых знаний, недоступны(

Чисто теоретичски можно было бы скомпилить .so с перезаписанным методом и подключить, но тогда метод не будет работать. В общем если у вас есть еще варианты, как хукнуть метод класса из .dll файла, был бы рад их послушать, ибо я в тупике =/

[rustler2000]

Alex Wells, перезадай вопрос - укажи детали - типа есть бинарь сервера под А\Б\С использующий внутри ноду\хромиум\електрон\... - хочу хукнуть и вытянуть сорцы .js

а то вообще не понятно чего да как

кстати - а ты пробовал в консоли js запускать? может можно перезадать функцию какую и прямо оттуда выплевывать нормально данные. типа ```function() { var oldeval = eval; eval = function() { console.log(args); return oldeval.apply(args);} ();``` ?

[Alex Wells]

rustler2000, что ты имеешь в виду под "запускать в консоли"? Сервер exe шный, он подтягивает сорцы "аддонов" на JS, но уже после загрузки нужного мне кода, так что перезапись мне не поможет( Да и к тому же, насколько я понял вызываются нативные плюсовые функции ноды и v8.

[Alex Wells]

rustler2000, смотри, в коде нашел такое: OUR_CODE_IN_UINT8 = sub_14001D570();

Функция что-то делает с bt.dat файлом, без которого приложение не запускается и он идет в комплекте с ним. Весит всего 16КБ, так что всего кода там точно нету, но результат передается в v8::String::NewStringFromOneByte, а оттуда - в v8::Script::Compile. Собственно я могу инжектнуть ДЛЛку, найти адресс этой ф-ии в памяти и вызвать ее, верно? Собственно до адреса проблем нету, проблема в том, что я не знаю тип возвращаемого ею аргумента. В сигнатуре v8::String::NewStringFromOneByte нужно передать const uint8_t*, но при попытке скомпилить ДЛЛку я получаю __int64 на выходе моей хукнутой функции, в то время как в оригинале - _QWORD*. Собственно сигнатура должна совпадать, а у меня так не выходит.

Вот что я имею в виду

typedef int func(void);
func* f = (func*)0xdeadbeef;
int i = f();

Только я не знаю, int там или что. Но точно что-то, что можно привести

[Alex Wells]

rustler2000, вот весь псевдокод из hex rays:

const uint8_t* OUR_CODE_IN_UINT8 = sub_14001D570(&v134);
    if ( OUR_CODE_IN_UINT8[3] >= 0x10ui64 )
      OUR_CODE_IN_UINT8 = (_QWORD *)*OUR_CODE_IN_UINT8;
    v49 = (__int64 *)v8::String::NewFromOneByte(isolate, OUR_CODE_IN_UINT8, 0i64, v83);
    Local<String> OUR_CODE = *v49;
    if ( !*v49 )
    {
      v8::V8::ToLocalEmpty();
      OUR_CODE = *v49;
    }
    v52 = v8::Script::Compile(context, OUR_CODE);

Там я подставил "const uint8_t* " что бы не забыть, на самом деле я понятия не имею, что там за тип.

[rustler2000]

Alex Wells, под хукнуть я имел ввиду принимат вызовы в свою функцию - логгировать параметры (собственно писать переданные ей javascript в файл) и вызывать оригинальный метод. причем насколько я помню там вообще longjump наверное сработает :D

QWORD и есть int64 :D то что типа возврата косой этож ты сам задаешь чего там - может звезду забыл

опять же - это все под венду только или и под линукс есть?

[Alex Wells]

rustler2000, ну допустим что QWORD = int64, тогда почему IDA для моей ф-ии генерит __int64, а там _QWORD? Я сейчас еще сравню сигнатуры через SigMaker тот же, посмотрю.

На счет линукса, да, есть файл и под линукс. Там нету .dll/.so, просто один большой файлик, но в нем невозможно ничего найти (половина кода не декомпилится, весь неймспейс v8:: тоже не находится, в общем одни только sub_ ). Через GDB тоже самое. Есть еще варианты?)

[rustler2000]

Alex Wells, не ну если под линукс статически слинкованно и без символов то только венда.

[Alex Wells]

rustler2000, именно так и сделано)

typedef v8::MaybeLocal<v8::Script>(v8::Script::*CompileFunc)(v8::Local<v8::Context>, v8::Local<v8::String>, v8::ScriptOrigin*);

uintptr_t AddressOfCompile = 0;

v8::MaybeLocal<v8::Script> __fastcall HookedCompile(v8::Local<v8::Context> context, v8::Local<v8::String> source, v8::ScriptOrigin* origin)
{
	std::cout << "!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!" << std::endl;

	v8::Script::CompileFunc originalCompile = (v8::Script::CompileFunc) AddressOfCompile;
	return originalCompile(context, source, origin);
}

Есть вот такие функции для инжекта, причем они удачно инжектятся. Проблема в том, что сервер запускается моментально и заинжектить (даже автоматическим) не успеваю до любого вызова этого метода. Как то можно приостановить выполнение программы после загрузки node.dll, но до выполнения кода загрузки? Если ставлю брейкпоинты в IDA и инжекчу код, она начинает кидатся ексепшенами(

[rustler2000]

Alex Wells, копируешь .dll с нодой\v8 в другое место, свою длл переименовываешь вместо оригинальной нодовой, в dllmain своей длл грузишь скопированную длл и хукаешься. предварительно конечно посмотри идой что у оригинальной длл дллмайн ничего особенного не делает (а то может хук поздно встанет)

[Alex Wells]

rustler2000, **disclaimer: у меня знания c++ на уровне школьника, все остальное я делаю методом тыка, гугла и догадок из других языков**

Уже смотрел, у ноды DllMain не делает вообще ничего (только запрещает дальнейшие его вызовы). Концепт понятен, а реализация - не совсем. Про хук, примерно так?:

HINSTANCE hGetProcIDDLL = LoadLibrary("C:\\Documents and Settings\\User\\Desktop\\test.dll");
f_funci funci = (f_funci)GetProcAddress(hGetProcIDDLL, "funci");
// тут хукнуть

Если да, то разве server.exe увидит экспортированные методы из оригинальной ноды? Это было бы весьма странно, но если это так - прекрасно) Если нет - прошу подсказать как добится этого)

Спасибо тебе за ответы и помощь. Я бы хотел скинуть тебе копеечку на чай, если это разрешено на Тостере)

[rustler2000]

Alex Wells, для "школьника" ты далеко зашел :P

если дллмайн перехватываемой длл ничего не делает - то все шоколадно (должно быть :D).
попробуй для начала просто в фейковой длл подгружать оригинальную длл совсем без хуков. если сервер пашет то все точно шоколадно.
(Я давным давно не хакал венду да и венды у меня нету оооочень давно (ну тоесть есть гдето но вижу я ее раз в два месяца). Потому точно не помню, но вроде как имена экспортируемых функций в общую область попадают и особых проблем быть не должно. Хотя может безопастность прикрутили но скорее всего нет.)

тоесть процесс должен быть примерно такой server.exe -> твоя .dll через DllMain грузит оригинальную .dll -> [опционально хукает что надо] -> server.exe продолжает работать :D

Вот еще красивая либа для хука - https://www.codeproject.com/Articles/44326/MinHook... - просто хук инсталлит на место оригинальной функции из dll =).

Пиши как продвигаешся - скидывать ничего не надо :)

[Alex Wells]

rustler2000, )

Попробовал совсем без ничего,

BOOL APIENTRY DllMain( HMODULE hModule, DWORD  dwReason, LPVOID lpReserved) {
	LoadLibrary(L"D:/node.dll");
}

По пути точно есть node.dll, я смог в тестовой программе ее загрузить и вытащил адрес нужной мне функции. Но при попытке сделать тоже самое тут, вылазит 0xc0000007b:


Про MinHook, да, я еще вчера ее нашел, тоже приглянулась) Как раз вчера и хукал ею.

[rustler2000]

Alex Wells, это плохо - тогда через это посмотри что твой server.exe делает - может найдешь к чему прицепится https://docs.microsoft.com/en-us/sysinternals/down...
ну или через регистри цепляй .dll только смотри чтоб не убить венду :D

[rustler2000]

Alex Wells, вот тут типа относительно безопасный способ https://stackoverflow.com/questions/25008706/elega... - тот который не AppInit_DLLs

[Alex Wells]

rustler2000, ахха) Да ничего не делает server, только консольку открывает)))

Я уже и через appInit пытался (оно вообще не работает, и нет, я не забыл его включить), и через debugger, тоже вчера (или позавчера, уже сбился со счета), там винда говорил, что "Приложение не поддерживается" :(

А с загрузкой библиотеки, может как-то можно? server.exe залинкован статически, значит как-то этот node.dll подменить можно. Думаю проблема в том, что мой node.dll не экспортирует ничего. У LoadLibraryEx есть кучу флагов, но вроде ничего полезного( Может есть способ редиректнуть экспорты? Или вообще хоть как-то их загрузить?

[rustler2000]

Alex Wells, это тебе кажется, что ничего :D венда же - она тебе еще и фонты подгрузит :D

Все экспорты ноды это адово :( Там же несколько сотен наверное. Проще наверное типа WinSock32.dll собой заменить :D посмотри типа вот таким www.dependencywalker.com кто чего

[Alex Wells]

rustler2000, я обнаружил что в кастомной сборке ноды не хватает 4х методов:
node::PulseNode(void)
node::StartNodeInspector(node::Environment*, char const*)
node::StartNode(int, char** const)
node::SetIsolate(v8::Isolate*)

Так же пытаясь понять, для чего они нужны, я понял что версия кастомной ноды - 9.2.0, а не 9.3.0, что очень странно, ибо я точно видел 9.3.0) В общем сейчас пересоберу 9.2.0, сравню ассембл и попробую ее использовать. Заодно на размер файла посмотрю, ну и попытаюсь восстановить эти методы.

[Alex Wells]

rustler2000, нода 9.2.0 весит 22010, оригинал - 22083. Значит кода там нету, а эти 73КБ занимают недостающие функции. Теперь все начинает прояснятся)

[Alex Wells]

rustler2000, восстановил все четыре метода. Все равно не хватает ~68КБ, но не суть. Проблема в том, что главный недостающий метод, node::StartNode, возвращает непонятную структуру:
struct node::initializeValues_t *

А вот тут все упоминания этой структуры в server.exe:

*(_QWORD *)(structure + 24) = node::Environment* // по адресу structure + 24 записывается node::Environment*
*((_DWORD *) structure + 8) => int exec_argc // тут наоборот: передается аргумент такого типа из этого адреса
*((_QWORD *) structure + 5) => const char* const* exec_argv // тут аналогично второму

Насколько я понял, во втором и третьем случае мы берем адрес в памяти структуры (каст в d/qword), добавляем к нему нужный оффсет а потом достаем значение по этому адресу *(выражение). В первом случае мы делаем тоже самое, только с записью.

В ближайшем коде я не нашел подходящей структуры, даже приблизительно. В коде функции node::StartNode это значение берется так:

qword_1814D8FC0 = (__int64)v8_platform;
  result = (struct node::initializeValues_t *)&qword_1814D8FC0;
  return result;

, где qword_1814D8FC0 - непонятно что, но не используется больше нигде, а значит равноценно локальной переменной. Подозреваю, что (__int64) - то, во что компилер превратил *, но VS ругается на такую запись. v8_platform - обьявленная вот так:

static struct { 
// код
} v8_platform;

структура. Это не тайпдеф, а статическая переменная такого типа.

Но даже если тайпдефнуть, я не вижу в v8_platform нужных данных. Нету ни одного из трех нужных.

Что это вообще такое? Подобную структуру в IDA node.dll не вижу, сейчас попробую экспортнуть в .c файл и там поискать. Если знаешь, что это может быть - дай знать) Это может быть структура, которую компилятор автоматически сгенерировал и дал ей такое имя? Или это 100% человеческая работа?

[rustler2000]

Alex Wells, Номеруй вопросы чтоли :)

во первых - не понятно - можешь ли ты собрать node.dll и работает ли с ней сервер? размер не особо роли играет ибо может меняться изза множества причин - пусть сборки, дата\время, язык, точный билд компайлера и тд

далее - ида не панацея - и типы с переменными сама связывать полностью не умеет, особо с не прямым использованием. опять же в иде можно корректировать что да как - смени (__int64) на (T*).

Компайлер структуры автоматом генерировать не умеет - может конечно пооптимизировать что будет похоже на структуру, но все равно структорой не будет. Потому считай что 100% человек поработал. Но опять же - stick with the plan - у тебя сервер то запускается с твоей dll ?

[Alex Wells]

rustler2000, пока нет ( Я уже хукнул нужные методы, проверил на exe шной сборке ноды - работает. Далее восстановил три из четырех методов, по бесконечным суждениям в IDA. На один из них server.exe ругался, мол его не существует, при попытке подменить ноду - на сей раз такого нет. В общем сигнатура трех из четырех методов совпадает, код - тоже более менее похож, но я в функционале уверен.

Но осталась еще одна, как раз та, которая возвращает неизвестную структуру. Опять же, я попытался и ее восстановить, но сигнатуры отличаются *__ тут должна была быть куча текста, но я заметил, что в оригинальном методе не char** а char** const __*.

Скорее всего сейчас я смогу добиться одинаковых сигнатур, но проблема в том, что мой ::StartNode (метод, который мне нужен и в котором эта структура) совсем не похож на оригинальный.. Начало почти идентичное, а дальше идет куча кода, которого в оригинальной нету. К тому же в оригинальном методе, как я писал выше, возвращается переменная, которая является структурой - v8_platform, а в моем такого даже и близко нету, я просто создаю новую структуру и отдаю..

[Alex Wells]

rustler2000, ура!) Удивительно, но оно не крашнулось, а запустилось!) Но там всего 600 строчек кода( Похоже на обычное внешнее АПИ, к сожалению совсем нету времени сейчас разбираться. Еще насторожило это:
let mp = __setupMP();
Но __setupMP нигде нету(

[rustler2000]

Alex Wells, тоесть это типа кусок js? ну символы смотри в иде - оно "гдето" есть