本文一共介紹了七種方法：  
　　一：最簡單的加密解密 :函數(shù)escape()和unescape()
　　二：轉(zhuǎn)義字符"\"的妙用  
　　三：使用Microsoft出品的腳本編碼器Script Encoder來進行編碼    （自創(chuàng)簡單解碼）  
　　四：任意添加NUL空字符（十六進制00H）    （自創(chuàng)）  
　　五：無用內(nèi)容混亂以及換行空格TAB大法  
　　六：自寫解密函數(shù)法  
　　七：錯誤的利用          （自創(chuàng)） 

　　在做網(wǎng)頁時（其實是網(wǎng)頁木馬呵呵），最讓人煩惱的是自己辛辛苦苦寫出來的客戶端IE運行的JAVASCRIPT代碼常常被別人輕易的拷貝，實在讓自己的心里有點不是滋味，要知道自己寫點東西也挺累的......^*^ 

　　但我們也應(yīng)該清楚地認(rèn)識到因為JAVASCRIPT代碼是在IE中解釋執(zhí)行，要想絕對的保密是不可能的，我們要做的就是盡可能的增大拷貝者復(fù)制的難度，讓他知難而退（但愿~!~），下面我結(jié)合自己這幾年來的實踐，及個人研究的心得，和大家一起來探討一下網(wǎng)頁中JAVASCRIPT代碼的加密解密技術(shù)。 

　　以加密下面的JAVASCRIPT代碼為例： 

<SCRIPT LANGUAGE="JavaScript">  
alert("黑客防線");  
</SCRIPT>

　　一：最簡單的加密解密 

　　大家對于JAVASCRIPT函數(shù)escape()和unescape()想必是比較了解啦（很多網(wǎng)頁加密在用它們），分別是編碼和解碼字符串，比如例子代碼用escape()函數(shù)加密后變?yōu)槿缦赂袷剑?nbsp;

alert%28%22%u9ED1%u5BA2%u9632%u7EBF%22%29%3B

如何？還看的懂嗎？當(dāng)然其中的ASCII字符"alert"并沒有被加密，如果愿意我們可以寫點JAVASCRIPT代碼重新把它加密如下： 

%61%6C%65%72%74%28%22%u9ED1%u5BA2%u9632%u7EBF%22%29%3B

　　呵呵！如何？這次是完全都加密了！ 

　　當(dāng)然，這樣加密后的代碼是不能直接運行的，幸好還有eval(codeString)可用，這個函數(shù)的作用就是檢查JavaScript代碼并執(zhí)行，必選項 codeString 參數(shù)是包含有效 JavaScript 代碼的字符串值，加上上面的解碼unescape()，加密后的結(jié)果如下： 

<SCRIPT LANGUAGE="JavaScript">  
var code=unescape("%61%6C%65%72%74%28%22%u9ED1%u5BA2%u9632%u7EBF%22%29%3B");  
eval(code)  
</SCRIPT>

　　是不是很簡單？不要高興，解密也就同樣的簡單，解密代碼都擺給別人啦（unescape()）！呵呵 

關(guān)于網(wǎng)頁加密，一般是使用unescape函數(shù)，它只是簡單地將一些特定的符號、中文、字符變換成特定的編碼，而對于英文，則基本上是原文顯示，加密效果對比如下： 

原代碼： 

＜html＞ 

＜head＞ 

＜/head＞ 

＜body＞ 

＜b＞ok＜/b＞ 

＜/body＞ 

＜/html＞ 

加密后的代碼： 

＜script＞ 

＜!-- 

document.write(unescape("%3Chtml%3E%0D%0A%20%20%3Chead%3E%0D%0A%20%20%3C/head%3E%0D%0A%20%20%3Cbody%3E%0D%0A%20%20%20%20%3Cb%3Eok%3C/b%3E%0D%0A%20%20%3C/body%3E%0D%0A%3C/html%3E")); 

//--＞ 

＜/script＞ 

　　需要指出的是，這種在線加密一般同時也都提供了解密功能，所以，這種加密是沒有什么意義的，徒增了網(wǎng)頁的體積而已。

　　二：轉(zhuǎn)義字符"\"的妙用 

　　大家可能對轉(zhuǎn)義字符""不太熟悉，但對于JavaScript提供了一些特殊字符如：\n （換行）、 \r （回車）、\’ （單引號 ）等應(yīng)該是有所了解的吧？其實"\"后面還可以跟八進制或十六進制的數(shù)字，如字符"a"則可以表示為："\141"或"\x61"（注意是小寫字符"x"），至于雙字節(jié)字符如漢字"黑"則僅能用十六進制表示為"\u9ED1"（注意是小寫字符"u"），其中字符"u"表示是雙字節(jié)字符，根據(jù)這個原理例子代碼則可以表示為： 

　　八進制轉(zhuǎn)義字符串如下:  

<SCRIPT LANGUAGE="JavaScript">  
eval("\141\154\145\162\164\50\42\u9ED1\u5BA2\u9632\u7EBF\42\51\73")  
</SCRIPT>

十六進制轉(zhuǎn)義字符串如下:  

<SCRIPT LANGUAGE="JavaScript">  
eval("\x61\x6C\x65\x72\x74\x28\x22\u9ED1\u5BA2\u9632\u7EBF\x22\x29\x3B")  
</SCRIPT>

　　這次沒有了解碼函數(shù)，因為JavaScript執(zhí)行時會自行轉(zhuǎn)換，同樣解碼也是很簡單如下： 

<SCRIPT LANGUAGE="JavaScript">  
alert("\x61\x6C\x65\x72\x74\x28\x22\u9ED1\u5BA2\u9632\u7EBF\x22\x29\x3B")  
</SCRIPT>

　　就會彈出對話框告訴你解密后的結(jié)果！ 

　　三：使用Microsoft出品的腳本編碼器Script Encoder來進行編碼 

　　工具的使用就不多介紹啦！我是直接使用JavaScript調(diào)用控件Scripting.Encoder完成的編碼！代碼如下： 

<SCRIPT LANGUAGE="JavaScript">  
var Senc=new ActiveXObject("Scripting.Encoder");  
var code='<SCRIPT LANGUAGE="JavaScript">\r\nalert("黑客防線");\r\n<\/SCRIPT>';  
var Encode=Senc.EncodeScriptFile(".htm",code,0,"");  
alert(Encode);  
</SCRIPT>

　　編碼后的結(jié)果如下：  

<SCRIPT LANGUAGE="JScript.Encode">#@~^FgAAAA==@#@&ls DD`J黑客防線r#p@#@&FgMAAA==^#~@</SCRIPT>

　　夠難看懂得吧？但相應(yīng)的解密工具早已出來，而且連解密網(wǎng)頁都有！因為其解密網(wǎng)頁代碼過多，我就不多說拉！給大家介紹一下我獨創(chuàng)的解密代碼，如下： 

<SCRIPT LANGUAGE="JScript.Encode">  
function decode()  
alert(decode.toString());  
</SCRIPT>

　　咋樣？夠簡單吧？它是原理是：編碼后的代碼運行前IE會先對其進行解碼，如果我們先把加密的代碼放入一個自定義函數(shù)如上面的decode()中，然后對自定義函數(shù)decode調(diào)用toString()方法，得到的將是解碼后的代碼！ 

　　如果你覺得這樣編碼得到的代碼LANGUAGE屬性是JScript.Encode，很容易讓人識破，那么還有一個幾乎不為人知的window對象的方法execScript()，其原形為： 

window.execScript( sExpression, sLanguage ) 

　　參數(shù)：  
　　sExpression: 必選項。字符串(String)。要被執(zhí)行的代碼。  
　　sLanguage　: 必選項。字符串(String)。指定執(zhí)行的代碼的語言。默認(rèn)值為 Microsoft JScript 

　　使用時，前面的"window"可以省略不寫！ 

　　利用它我們可以很好的運行編碼后的JavaScript代碼，如下： 

<SCRIPT LANGUAGE="JavaScript">  
execScript("#@~^FgAAAA==@#@&ls DD`J黑客防線r#p@#@&FgMAAA==^#~@","JScript.Encode")  
</SCRIPT>

　　你可以利用方法二對其中的""號內(nèi)的字符串再進行編碼，使得"JScript.Encode"以及編碼特征碼"#@~^"不出現(xiàn)，效果會更好！ 

它可以將JS或VBS或ASP代碼編譯成一串完整的狀如亂碼的字符串，對其中任何一個字符的修改將直接導(dǎo)致整個代碼的不可用。它的安全性和保證代碼的完整性方面是前一種方法所不可比擬的。其加密效果對比如下：

原代碼：

alert("hello")

加密后的代碼：

＜script language=jscript.encode＞#@~^EwAAAA==C^+.D`rt+^VKE#p@#@&EwUAAA==^#~@＜/script＞ 
　

　　從中找不到一點原代碼的影子。

　　要使用這種加密方式，首先需要到微軟網(wǎng)站下載一個SCRENC腳本編碼器，請注意，它是一個在DOS提示符下使用的命令，但安裝之后，會有相關(guān)的非常詳細(xì)的圖形界面下的幫助文件。

　　以下是該程序的語法解釋：

　　描述 
　　對腳本編寫源代碼進行加密，使其不會輕易地被用戶查看或修改。

　　語法 
　　SCRENC [/s] [/f] [/xl] [/l defLanguage ] [/e defExtension] inputfile outputfile

　　腳本加密程序語法的組成部分如下：

　　部分 描述

　　/s 可選的。 開關(guān)，它指定腳本加密程序的工作狀態(tài)是靜態(tài)的，即產(chǎn)生無屏幕輸出。如省略，缺省為提供冗余輸出。

　　/f 可選的。指定輸入文件將被輸出文件覆蓋。 注意，該選項會破壞您原來的輸入源代碼。如省略，輸出文件不會被覆蓋。

　　/xl 可選的。指定不把 @language 偽指令添加到 .ASP 文件頂部。如省略，@language 指令添加到所有的 .ASP 文件中。

　　/l defLanguage 可選的。指定在加密過程中使用的缺省腳本編寫語言 （JScript? 或 VBScript）。被加密文件中的腳本塊如不包含語言屬性，即被認(rèn)為是由指定語言寫成。 如省略，JScript 是 HTML 頁和腳本小程序的缺省語言，VBScript 是動態(tài)網(wǎng)頁的缺省語言。對于普通文本文件，由文件擴展名 （ .js 或 .vbs）決定缺省腳本編寫語言。

　　/e defExtension 可選的。把輸入文件與一個特定的文件類型相關(guān)聯(lián)。當(dāng)輸入文件的擴展名不能明顯顯示出文件的類型時，即，當(dāng)輸入文件擴展名不是可識別的擴展名，但文件內(nèi)容又可以歸為可識別的類型時，使用該開關(guān)。該選項無缺省值。如果遇到一個帶不可識別的擴展名的文件，且該選項未被指定，則腳本加密程序不能處理該不可識別的文件?？勺R別的文件擴展名有 asa、asp、cdx、htm、html、js、sct和 vbs。 
inputfile 必需的。要被加密的文件名稱，包括相對于當(dāng)前目錄的任何需要的路徑信息。 
outputfile 必需的。要生成的輸出文件的名稱，包括相對于當(dāng)前目錄的任何需要的路徑信息。

　　四：任意添加NUL空字符（十六進制00H） 

　　一次偶然的實驗，使我發(fā)現(xiàn)在HTML網(wǎng)頁中任意位置添加任意個數(shù)的"空字符"，IE照樣會正常顯示其中的內(nèi)容，并正常執(zhí)行其中的JavaScript 代碼，而添加的"空字符"我們在用一般的編輯器查看時，會顯示形如空格或黑塊，使得原碼很難看懂，如用記事本查看則"空字符"會變成"空格"，利用這個原理加密結(jié)果如下：（其中顯示的"空格"代表"空字符"） 

<S    C    RI    P T L    ANG U    A        G E      
 ="    J    a    v a S    c r    i p t "> 
a    l er    t    (" 黑    客 防 線")    ;       <    /    SC    R    I    P    T>

　　  
　　如何？是不是顯得亂七八糟的？如果不知道方法的人很難想到要去掉里面的"空字符"（00H）的！ 

　　五：無用內(nèi)容混亂以及換行空格TAB大法 

　　在JAVASCRIPT代碼中我們可以加入大量的無用字符串或數(shù)字，以及無用代碼和注釋內(nèi)容等等，使真正的有用代碼埋沒在其中，并把有用的代碼中能加入換行、空格、TAB的地方加入大量換行、空格、TAB，并可以把正常的字符串用""來進行換行，這樣就會使得代碼難以看懂！如我加密后的形式如下： 

<SCRIPT LANGUAGE="JavaScript">  
"xajgxsadffgds";1234567890  
625623216;var =0;alert//@$=0;alert//@$%%&*()(&(^%^  
//cctv function//  
(//hhsaasajx xc  
/*  
asjgdsgu*/  
"黑 

客  
防線"//ashjgfgf  
/*  
@#%^&%$\text{^\&\%}$96667r45fggbhytjty  
*/  
//window  
)  
;"#@$#%@#432hu";212351436  
</SCRIPT> 

　　至少如果我看到這樣的代碼是不會有心思去分析它的，你哪？ 

　　六：自寫解密函數(shù)法 

　　這個方法和一、二差不多，只不過是自己寫個函數(shù)對代碼進行解密，很多VBS病毒使用這種方法對自身進行加密，來防止特征碼掃描！下面是我寫的一個簡單的加密解密函數(shù)， 

加密代碼如下（詳細(xì)參照文件"加密.htm"）：  

<SCRIPT LANGUAGE="JavaScript">  
function compile(code)  
{    
   var c=String.fromCharCode(code.charCodeAt(0)+code.length);  
   for(var i=1;i<code.length;i++){  
   c+=String.fromCharCode(code.charCodeAt(i)+code.charCodeAt(i-1));  
   }  
   alert(escape(c));  
}  
compile(’alert("黑客防線");’)  
</SCRIPT>

運行得到加密結(jié)果為：o%CD%D1%D7%E6%9CJ%u9EF3%uFA73%uF1D4%u14F1%u7EE1Kd 

相應(yīng)的加密后解密的代碼如下： 

<SCRIPT LANGUAGE="JavaScript">  
function uncompile(code)  
{  
   code=unescape(code);  
   var c=String.fromCharCode(code.charCodeAt(0)-code.length);  
   for(var i=1;i<code.length;i++){  
   c+=String.fromCharCode(code.charCodeAt(i)-c.charCodeAt(i-1));  
   }  
   return c;  
}  
eval(uncompile("o%CD%D1%D7%E6%9CJ%u9EF3%uFA73%uF1D4%u14F1%u7EE1Kd"));  
</SCRIPT>

　　七：錯誤的利用 

　　利用try{}catch(e){}結(jié)構(gòu)對代碼進行測試解密，雖然這個想法很好（呵呵，夸夸自己），因為實用性不大，我僅給個例子 

<SCRIPT LANGUAGE="JavaScript"> 
var a=’alert("黑客防線");’;  var c="";  for(var i=0;i<a.length;i++){  c+=String.fromCharCode(a.charCodeAt(i)^61);} 
alert(c); 
//上面的是加密代碼，當(dāng)然如果真正使用這個方法時，不會把加密寫上的  //現(xiàn)在變量c就是加密后的代碼 
//下面的函數(shù)t()先假設(shè)初始密碼為０，解密執(zhí)行，  //遇到錯誤則把密碼加１，然后接著解密執(zhí)行，直到正確運行 
var d=c;    //保存加密后的代碼  var b=0;    //假定初始密碼為0  t(); 
function t(){try{eval(c);}catch(e){ c=""; for(var i=0;i<d.length;i++){ c+=String.fromCharCode(d.charCodeAt(i)^b);}b+=1; t();//setTimeout("t()",0); } }
</SCRIPT>

• 解密
• 加密