一、当恶意代码穿上”隐身衣”：JavaScript混淆的现实威胁
打开一个可疑的JavaScript文件，你可能会看到这样的代码：
这不是乱码，而是攻击者精心设计的”隐身衣”——JavaScript代码混淆。这段看似天书般的代码，实际上可能隐藏着窃取用户数据、植入后门或发起网络攻击的恶意逻辑。
JavaScript作为互联网前端和客户端脚本的核心语言，在网页及各类网络应用中被广泛使用，这也使其成为了攻击者的首选目标。攻击者频繁利用JavaScript的动态特性，通过多层、多样化的混淆技术隐藏恶意代码，极大增加了安全分析的难度。
面对这一日益严峻的安全威胁，奇安信技术研究院星图实验室与北京邮电大学联合研究团队在NDSS 2026会议上发表了论文《From Obfuscated to Obvious: A Comprehensive JavaScript Deobfuscation Tool for Security Analysis》。该论文由北京邮电大学和奇安信联合培养的卓越工程师计划博士研究生周董超在奇安信技术研究院联培期间主导完成，导师为应凌云博士（奇安信星图实验室）和王东滨教授（北京邮电大学），参与该项工作的还有柴华君（奇安信星图实验室）。这篇论文也是我们继PowerPeeler (CCS 2024)和Invoke-Deobfuscation (DSN 2022)之后的又一项脚本反混淆工作。
通过系统性文献调研和样本分析，研究团队将JavaScript混淆技术归纳为四大类共20种技术：词法级混淆（变量重命名、间接属性访问等5种）、语法级混淆（表达式转函数、特殊编码等6种）、语义级混淆（字符串数组、控制流平坦化等7种）和多层混淆（OB混淆、AI辅助混淆2种）。针对这些复杂化的混淆趋势，研究开发的综合性反混淆工具JSIMPLIFIER能够自动破解各种混淆技术，将晦涩的恶意代码还原为安全分析师能够快速理解的清晰形式。
二、现有反混淆工具的三重困境
当前的JavaScript反混淆工具面临着三个核心挑战，这些挑战严重限制了它们在实际安全分析中的应用效果。
输入处理的脆弱性： 现有工具在遇到不同语法、混合编码、打包器包装等”不规范”输入时经常直接崩溃。真实世界的恶意代码往往包含这些问题，导致工具连分析机会都没有。
分析策略的单一性： 静态分析工具无法处理运行时依赖的混淆（如动态代码生成），动态分析工具又难以应对大规模样本和安全风险。更关键的是，现有工具通常只针对特定混淆模式，缺乏对多层混淆的综合支持。以JSFireTruck恶意软件为例，这个一个月内感染26.9万网页的攻击使用了复杂的多层混淆，现有工具要么无法处理，要么只能部分解码。
输出可读性的缺失： 即使成功反混淆，输出代码仍充斥着_0x4f2a、_0x1b3c等这样的无意义标识符，安全分析师需要花费大量时间才能理解代码逻辑，严重影响威胁响应效率。
三、JSIMPLIFIER的创新设计
针对以上挑战，我们提出了JSIMPLIFIER，一款集代码预处理、静态抽象语法树分析、动态执行跟踪和大语言模型（LLM）智能变量重命名与代码美化于一体的综合性反混淆工具。JSIMPLIFIER采用三阶段流水线架构，每个阶段专门解决一类核心问题，形成了从”输入修复”到”逻辑还原”再到”可读性提升”的完整处理链条。
预处理器：让”坏代码”变”好代码”（Preprocessor）
预处理器是整个系统的基石，负责将各种”问题代码”标准化为可分析的格式。它首先进行代码有效性检查，使用容错性强的Meriyah解析器，即使面对不同灵活语法或不完整的代码也能生成完整的抽象语法树（AST）。接着进行词法清理，系统性地处理字符编码冲突，比如将过时的八进制转义序列（如\302）转换为标准的十六进制格式（如\xC2），并重建被分割的多字节UTF-8字符。在语义兼容化阶段，系统将遗留的JavaScript构造替换为跨平台等价物，确保在现代JavaScript环境中的兼容性。最后通过结构优化，利用AST作用域链遍历解决声明冲突，将代码重构为严格模式兼容的形式。
反混淆器：静态与动态的完美协作（Deobfuscator）
反混淆器采用混合分析设计，巧妙结合静态AST分析和受控动态执行。
增强的静态AST分析 方面，JSIMPLIFIER配备强化表达式求值引擎，专门处理混淆代码中的复杂构造：对于LogicalExpressions，实现正确的短路求值处理嵌套的&&和||链（如False && anything直接返回False）；对于ES6解构赋值如[a, b, c] = [getValue(), obj.prop, func.call(this)]，JSIMPLIFIER扩展AssignmentExpression处理，解析左侧模式结构并递归遍历嵌套数组模式，将每个元素位置映射到对应的右侧值；对于UnaryExpressions中的环境检测代码如typeof window !== 'undefined'，JSIMPLIFIER维护excludedNames白名单（包含window、document、navigator等关键全局变量），避免静态求值破坏环境特定的代码路径。
受控动态执行监控 方面，JSIMPLIFIER首先进行预执行风险评估，扫描危险关键字组合（push、shift、eval、await）识别可能导致无限循环或递归死锁的代码模式，并通过函数依赖映射追踪混淆函数间的调用关系。然后使用Node.js的vm.runInNewContext创建隔离执行环境，每个混淆代码段在独立的沙箱VM实例中运行，无法访问文件系统、网络或全局对象，仅暴露必要的内置对象。JSIMPLIFIER实现了全面的安全机制，包括执行超时防止进程挂起、递归深度限制防止无限循环、内存监控防止资源耗尽攻击。
混合分析协调技术 通过双向信息流实现两种分析方法的有机融合。在静态到动态的移交中，当静态分析遇到无法安全求值的CallExpression时（如函数调用者通过变量查找确定、涉及运行时代码生成的调用、依赖运行时状态的调用），JSIMPLIFIER的canbetransformed标记机制识别这些表达式并打包上下文信息传递给动态执行监控。在动态到静态的反馈整合中，动态执行结果经过类型感知处理后重新整合到静态AST：简单数据类型直接转换为字面量AST节点，函数结果解析为FunctionExpression节点，复杂对象通过JSON序列化确保安全表示，同时更新作用域链中的变量绑定并触发依赖代码段的重新分析。
人性化器：从机器码到人类语言（Humanizer）
虽然反混淆器成功恢复了程序逻辑，但结果往往仍然难以阅读。人性化器通过LLM技术将机械正确但晦涩的代码转化为专业、可读的形式。在智能标识符重命名方面，JSIMPLIFIER可以利用多种LLM模型（GPT、Gemini、本地模型等）进行上下文感知的变量和函数重命名，将无意义的混淆标识符替换为语义明确的名称。同时通过专业代码美化，集成Prettier格式化工具，确保输出符合行业标准的代码规范，包括一致的缩进、标准化的括号放置和规范的引号使用，最终生成既功能正确又易于理解的高质量代码。
四、最大规模验证与突破性成果
全面的数据集构建
为公正全面地评估工具性能，我们构建了业界最大的真实JavaScript混淆数据集进行验证。MalJS数据集包含23,212个野生恶意样本（平均391.78KB），这些样本来自超过1000万个真实恶意代码中的精选，覆盖所有已知的20种混淆技术。BenignJS数据集包含21,209个良性样本（平均41.40KB），来源于GitHub热门项目和合法网站。这两个数据集提供了真实世界中多样化和多层混淆技术的样本，远超现有数据集仅包含人工生成样本的局限。
全面的技术覆盖突破
实验评估采用了多个互补维度进行综合测评。在反混淆能力评估中（表II），JSimplifier实现了对全部20种混淆技术的100%处理能力和100%正确率，远超现有工具。与13种现有方法（包括10种传统工具和3种基于LLM的方案）的对比表明，传统工具在面对复杂语义级混淆时表现不足，而即便是先进的LLM方案也难以处理最复杂的混淆方法。
显著的代码简化效果
在代码简化评估中，JSimplifier在多个维度上展现了卓越的性能。首先，工具在CombiBench基准测试上达到了0.8820的Halstead长度减少分数——这一指标衡量代码中操作符和操作数的数量变化，分数越高说明代码复杂度降低更多。JSimplifier实现的88.2%复杂度降低意味着反混淆后的代码比原始混淆代码简单了近9成，显著超越了现有工具。
此外，研究团队还采用熵值分析来量化代码的随机性和混乱程度。熵值越低，代码的结构越清晰、可读性越强。大规模评估显示，JSimplifier在全部44,421个样本上实现了显著的熵值降低（如图2）——无论是AST结构熵（衡量代码语法树的复杂度）还是代码文本熵（衡量文本层面的混乱度）均达到最低中位值，充分证明了工具在真实场景中的有效性。
质的可读性飞跃
为验证代码可读性提升，研究团队采用了多个先进LLM模型（Claude 3.7 Sonnet、Gemini 2.5 Pro、DeepSeek-R1、GPT-o3）进行独立评估。这些模型对代码可读性进行0-10分的打分，其中0分代表完全不可读，10分代表极易理解。评估结果如下表所示，JSimplifier实现了平均466.94%的可读性提升，将难以理解的混淆代码（评分1.02-1.81，接近完全不可读）转化为适合安全分析的清晰代码（评分6.21-7.83，达到良好可读性水平）。
此外，研究团队还进行了用户研究，邀请9名不同专业水平的参与者（新手、中级、专家各3名）分析混淆样本。结果表明JSimplifier显著提升了分析准确率（新手提升12.7%）并大幅减少了分析时间（中级用户减少47.7%），主观评分在可读性、清晰度和逻辑性方面均显著提高。用户研究显示，工具显著提升了分析准确率（新手提升12.7%）并大幅减少了分析时间（中级用户减少47.7%）。一位中级参与者评价道：”变量重命名让我能够快速跟踪逻辑流程，我可以在几分钟内识别出可疑的网络调用，而不是在整个分析过程中大海捞针。”
实战验证：破解JSFireTruck的”密码”
JSFireTruck恶意软件活动是JSIMPLIFIER实战能力的最佳证明。这个复杂的攻击活动仅使用六个ASCII字符!+就构建了极其复杂的混淆代码，传统工具几乎束手无策。
原始混淆代码（部分）：
JSIMPLIFIER反混淆结果：
通过JSIMPLIFIER，安全分析师可以清晰地看到攻击逻辑：检测搜索引擎来源、注入恶意iframe、重定向到攻击域名。这种从”天书”到”明文”的转换，极大提升了威胁分析和响应的效率，展现了工具在真实安全分析场景中的实用价值。
五、结论：从”混乱”到”清晰”的技术突破
JSIMPLIFIER的成功体现了针对JavaScript混淆这一具体安全问题的有效解决方案。通过将静态分析、动态执行和LLM技术相结合，该工具在处理复杂混淆代码方面取得了显著进展。
技术贡献的实际价值主要体现在三个方面：三阶段流水线架构有效解决了输入多样性、分析复杂性和输出可读性的问题；静态与动态分析的协调机制克服了单一方法的局限性；LLM技术的合理应用显著改善了代码的人机交互体验。这些技术改进为反混淆工具的发展提供了新的参考方向。
实验验证的充分性通过大规模真实数据集得到了有力支撑。在44,421个样本上的测试结果——100%的技术覆盖率、88.2%的复杂度降低、466.94%的可读性提升——证明了该方法的有效性。JSFireTruck等真实案例的成功处理进一步验证了工具在实际安全分析场景中的实用价值。
当然，JavaScript混淆技术仍在不断发展，新的挑战也会持续出现。JSIMPLIFIER的模块化设计为应对这些变化提供了一定的灵活性。我们期待通过持续的技术改进和社区合作，进一步提升JavaScript安全分析的效率和准确性。
目前，JSimplifier及对应数据集已开源发布，面向安全研究和防护社区共享。未来工作将继续优化工具性能，扩展对更多混淆技术的支持，为脚本安全分析提供更好的技术工具。