Publicité envahissante et désobfuscation de Javascript: Copier du HTML protégé avec HTML Guard

Vers la fin des années 90, il était de coutume d'essayer de protéger les articles que l'on avait passé du temps à écrire, pour éviter de se faire piller. Cela semblait une bonne idée d'empêcher l'utilisateur d'interagir avec la page avec des Clics droits/copier, tout sélectionner.

Certains ont donc eu la merveilleuse idée de créer le DOM (le texte que l'on voit affiché pour simplifier) de façon dynamique en Javascript, et de modifier les handlers d'événement pour empêcher l'utilisateur d'interagir de façon classique avec la page. C'est aussi l'époque des plugins Netscape pour Windows qui permettaient d'afficher des images, mais apparaissaient comme gris lors d'une capture d'écran. On pourrait croire cette époque révolue, mais il existe encore certains qui y croient; enfin de façon modérée à en croire leurs propres propos:

Before applying HTML Guard's encrypting functions, you should be aware that these can have a negative effect on your site's search engine ranking. The encryption of your source code not only makes it unreadable for human eyes, but also keeps search engines from indexing its content. You should therefore apply encryption only after due consideration, and only on the pages and regions that you definitely want to conceal.

C'est certain qu'avec cette méthode, personne ne va copier votre texte, car personne ne va le voir!

En effet, aujourd'hui ça serait complètement absurde de montrer aux moteurs de recherche du Javascript qui génère du contenu, au lieu du contenu lui-même. Cela condamne la page à ne jamais être indexée.
Il est possible que le bot de Google interprète un peu la page pour avoir le rendu final même si c'ets peu probable; mais dans tous les cas c'est une forme de cloacking, donc un signal négatif.

Analysons cette petite merveille de code.
$ wget http://htmlguard.com/sample.html

Si l'on ouvre cet fichier avec un éditeur HTML, Aptana par exemple, on voit une première protection, certes ridicule, mais existante: la totalité du texte est en bloc non indenté, au milieu du fichier, avec 250 retours chariots avant et après, et des espaces blancs pour faire croire à une sorte de magie.. Genre, il n'y a PAS de code source. On dirait que l'auteur a suivi des cours de cryptologie sur Le Site du Zéro, le site où des professeurs de 13 ans enseignent à des élèves de 12 ans, car comme ils le pensent, dès que l'on sait quelque chose, même si ce savoir se résume à une ligne, il est de leur devoir d'écrire un "cours", avec des "TP", ou un "tutoriel", rempli d'astuces nazes et parfois fausses ou dangereuses, tout en inventant des termes là où il existe déjà une nomenclature bien définie. Bref..

Fichier initial:

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"><html xmlns="http://www.w3.org/1999/xhtml"><head><meta http-equiv="Content-Type" content="text/html; charset=utf-8" /><title>HTML Guard Sample Page</title><link rel="shortcut icon" type="image/x-icon" href="favicon.ico" /><link href="style.css" rel="stylesheet" type="text/css" media="all" /> <script type="text/javascript"></script> <meta http-equiv="imagetoolbar" content="no" /><link rel="stylesheet" type="text/css" href="_nil.css" /><style type="text/css"></style><style type="text/css" media="print"></style> </head><body><script type="text/javascript"></script><noscript><p>To display this page you need a browser that supports JavaScript.</p></noscript><script type="text/javascript">
var gaJsHost=(("https:"==document.location.protocol)?"https://ssl.":"http://www.");document.write(unescape("%3Cscript src='"+gaJsHost+"google-analytics.com/ga.js' type='text/javascript'%3E%3C/script%3E"));</script><script type="text/javascript"></script><noscript><p>To display this page you need a browser that supports JavaScript.</p></noscript></body></html>

Donc ce fichier, on commence par le nettoyer avec tidy Cela permet d'y voir tout de suite un peu plus clair.
Voici le résultat:

$ tidy sample.html > sample.tidied.html
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN"
    "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta name="generator" content=
"HTML Tidy for Mac OS X (vers 31 October 2006 - Apple Inc. build 15.6), see www.w3.org" />
<meta http-equiv="Content-Type" content=
"text/html; charset=us-ascii" />
<title>HTML Guard Sample Page</title>
<link rel="shortcut icon" type="image/x-icon" href="favicon.ico" />
<link href="style.css" rel="stylesheet" type="text/css" media=
"all" />
<script type="text/javascript">
//<![CDATA[

//]]>
</script>
<meta http-equiv="imagetoolbar" content="no" />
<link rel="stylesheet" type="text/css" href="_nil.css" />
<style type="text/css">
/*<![CDATA[*/

/*]]>*/
</style>

<style type="text/css" media="print">
/*<![CDATA[*/

/*]]>*/
</style>

</head>
<body>
<script type="text/javascript">
//<![CDATA[

//]]>
</script><noscript>
<p>To display this page you need a browser that supports
JavaScript.</p>
</noscript><script type="text/javascript">
//<![CDATA[
var gaJsHost=(("https:"==document.location.protocol)?"https://ssl.":"http://www.");document.write(unescape("%3Cscript src='"+gaJsHost+"google-analytics.com/ga.js' type='text/javascript'%3E%3C/script%3E"));
//]]>
</script><script type="text/javascript">
//<![CDATA[

//]]>
</script><noscript>
<p>To display this page you need a browser that supports
JavaScript.</p>
</noscript>
</body>
</html>

On voit immédiatement la structure du programme:
1/ Entête standard, rien d'excitant là dedans.
2/ Un script Javascript légèrement obfusqué pour permettre de modifier la façon dont les clics droits, copier, et sélectionner sont gérés. La seule obfuscation repose sur le renommage de variables, ce qui est une méthode très faible.
3/ La fonction de déchiffrement mzjy
4/ L'appel à la fonction mzjy, qui crée le DOM
5/ Un autre appel à la fonction mzjy

Reformatons le Javascript:

function mzjy(ojd0) {
    var vkvv = "",
ivfl,
m898,
ih22,
qdmc =
"O{_S,j/=(ah p\"f28-k5q\nWTl&H©PAr)x:M0s\r1Len.imocDt7w>NFUYGu;dy9g4v}bCK<",
a3mo = qdmc.length;
    eval(unescape("%66un%63ti%6Fn x%75fh%28fb%338){%76kv%76+=%66b38%7D"));
    for (ih22 = 0; ih22 < ojd0.length; ih22++) {
       m898 = ojd0.charAt(ih22);
       ivfl = qdmc.indexOf(m898);
       if (ivfl > -1) {
           ivfl -= (ih22 + 1) % a3mo;
           if (ivfl < 0) {
               ivfl += a3mo;
           } xufh(qdmc.charAt(ivfl));
       } else {
           xufh(m898);
       }
    } eval(unescape("%64oc%75me%6Et.w%72it%65(v%6Bvv)%3Bvk%76v=%22%22;"));
    }

Ces filous ont utilisés un eval(unescape(chaine)) pour masquer un peu le code.
Dans Firefox 12, on peut aller dans: Outils/Développeur/Ardoise Javascript pour interpréter cette chaîne.
On colle unescape("%66un%63ti%6Fn x%75fh%28fb%338){%76kv%76+=%66b38%7D");
dans la zone de texte et on fait bouton droit/ afficher. Firefox nous donne le résultat à l'intérieur d'un commentaire

eval(unescape("%66un%63ti%6Fn x%75fh%28fb%338){%76kv%76+=%66b38%7D"));
/* function xufh(fb38){vkvv+=fb38} */

eval(unescape("%64oc%75me%6Et.w%72it%65(v%6Bvv)%3Bvk%76v=%22%22;"));
/* document.write(vkvv);vkvv="";*/

eval(unescape("%64oc%75me%6Et.w%72it%65(v%6Bvv)%3Bvk%76v=%22%22;")/*
document.write(vkvv);vkvv="";
*/);eval(unescape("%64oc%75me%6Et.w%72it%65(v%6Bvv)%3Bvk%76v=%22%22;")/*
document.write(vkvv);vkvv="";
*/);eval(unescape("%64oc%75me%6Et.w%72it%65(v%6Bvv)%3Bvk%76v=%22%22;")/*
document.write(vkvv);vkvv="";
*/);

    eval(unescape("%66un%63ti%6Fn x%75fh%28fb%338){%76kv%76+=%66b38%7D")/*
function xufh(fb38){vkvv+=fb38}
*/);

 eval(unescape("%66un%63ti%6Fn x%75fh%28fb%338){%76kv%76+=%66b38%7D")/*
function xufh(fb38){vkvv+=fb38}
*/);

 eval(unescape("%66un%63ti%6Fn x%75fh%28fb%338){%76kv%76+=%66b38%7D")/*
function xufh(fb38){vkvv+=fb38}
*/);

On pourrait à ce point commencer à essayer de reconstruire l'algorithme, ou plutôt de le comprendre. Mais c'est en fait inutile.

En gros, on sait d'après leur documentation:

Restrict page use to certain web addresses
Make your web pages viewable only under your own domain names and specify that pages may not be opened offline,

que la chaine "qdmc" est probablement un masque utilisé dans l'algorithme, et combiné avec l'adresse courante de la page, pour que le déchiffrement de la page à partir d'une autre URL donne un résultat faux.
Le but est de copier du texte issu d'une page, non pas de simuler le déchiffrement des données telles qu'elles sont encodées dans le code source.

Car en fait, le maillon faible de cet méthode réside dans le navigateur. On ne peut pas empêcher Firefix de voir le DOM, ce serait paradoxal! (comme toutes les protections développées depuis toujours d'ailleurs, sauf que dans ce cas, l'environnement d'exécution n'est pas Firefox mais le processeur de la machine).
Donc pour en terminer avec cette protection infantile, il suffit d'installer Firebug, qui va permettre de dumper les noeuds du DOM.
Il suffit de faire: Firebug / Inspecter un élément.

À ce moment, tout le travail de HTMLGuard est réduit à néant, car Firebug voit le DOM comme un empilement de boites. On a accès à tout l'arbre, et il suffit de faire un clic sur l'élément que l'on veut copier, et de le copier depuis la fenêtre de Firebug.

Par exemple, on peut copier le texte:

This is a sample page that has been protected using HTML Guard.

That was easy..

    eval(unescape("%66un%63ti%6Fn x%75fh%28fb%338){%76kv%76+=%66b38%7D")/*
function xufh(fb38){vkvv+=fb38}
*/);    eval(unescape("%66un%63ti%6Fn x%75fh%28fb%338){%76kv%76+=%66b38%7D")/*
function xufh(fb38){vkvv+=fb38}
*/);

document.write(vkvv);vkvv="";

document.write(vkvv);vkvv="";

Publicité envahissante et désobfuscation de Javascript

vendredi 4 mai 2012

Copier du HTML protégé avec HTML Guard

Aucun commentaire:

Enregistrer un commentaire