npm install box-js --global

box-js sample.js

box-js sample1.js sample2.js /var/data/mySamples ...

cat ./*.results/active_urls.json | sort | uniq

NAME                      설명                                                                           
-h, --help                 도움말 텍스트를 표시하고 종료                                                     
-v, --version              패키지 버전을 표시하고 종료                                                        
--license                  라이선스를 표시하고 종료                                                           
--debug                    에뮬레이션 오류 발생 시 죽음(일괄 모드에서도), 종료 코드를 전달                        
--loglevel                 로깅 수준 (debug, verbose, info, warning, error - 기본값 "info")                  
--threads                  일괄 모드에서 동시에 실행할 분석 수 (0 = 무제한, 기본값: CPU 코어 수)                    
--download                 실제로 페이로드를 다운로드                                                         
--encoding                 입력 샘플의 인코딩 (기본값: 자동 감지)                                              
--timeout                  스크립트가 이 시간(초) 후에 타임아웃됨 (기본값 10)                                    
--output-dir               결과 파일 및 폴더를 쓸 디스크 위치 (기본값: 현재 디렉토리)                              
--preprocess               원본 소스 코드를 전처리 (리버스 엔지니어링을 용이하게 하지만 몇 초 소요)                  
--unsafe-preprocess        더 공격적인 전처리. 종종 더 나은 코드를 생성하지만 일부 경계 케이스(예: 프로토타입 재정의)에서 
                           깨질 수 있음                                                                        
--prepended-code           분석 중인 JS 파일 앞에 추가할 코드가 포함된 입력 파일 또는 디렉토리. 디렉토리인 경우 해당 
                           디렉토리의 모든 파일 내용을 앞에 추가. 'default'인 경우 box-js에 포함된 기본 
                           boilerplate.js 사용. 'show-default'인 경우 boilerplate.js의 경로만 출력하고 종료 
                           (기본 boilerplate 코드를 복사하여 수정하려는 경우 유용).                              
--fake-script-engine       WScript.FullName 및 WScript.Name에 보고할 스크립트 엔진 (예: 'cscript.exe', 
                           'wscript.exe' 또는 'node'). 기본값: wscript.exe.                                     
--fake-cl-args             가짜 스크립트 명령줄 인수. 문자열에서 쉼표로 구분해야 함.                                   
--fake-sample-name         분석 중인 샘플에 사용할 가짜 파일 이름. 전체 경로 또는 파일 이름만 가능. 경로에 '\'가 
                           있으면 이 명령줄 인수 값에서 '\\'로 이스케이프 (예: --fake-sample-name=C:\\foo\\bar.js). 
--fake-language            Win32_OperatingSystem.OSLanguage에 반환할 언어 코드 지정. 지원되는 값: 'spanish', 
                           'english', 'portuguese'.                                                             
--fake-domain              WScript.Network.UserDomain에 반환할 사용자 도메인 지정.
--fake-download            HTTP 요청이 작동하는 것처럼 위장하고 가짜 페이로드 반환                                
--no-kill                  런타임 오류 발생 시 애플리케이션을 종료하지 않음                                         
--no-echo                  스크립트가 데이터를 출력할 때 콘솔에 출력하지 않음                                      
--no-rewrite               `@cc_on` 지원 외에 소스 코드를 전혀 다시 작성하지 않음                                 
--no-catch-rewrite         try..catch 절을 다시 작성하여 예외를 전역 범위로 만들지 않음                            
--no-cc_on-rewrite         `/*@cc_on <...>@*/`를 `<...>`으로 다시 작성하지 않음                                    
--no-eval-rewrite          `eval`의 인수가 다시 작성되도록 `eval`을 다시 작성하지 않음                              
--no-file-exists           Scripting.FileSystemObject.FileExists(x)에 대해 `false` 반환                            
--limit-file-checks        많은 검사가 수행되는 경우 폴더/파일 존재 확인의 기본값 전환 (무한 파일 검사 루프 차단 시도). 
--no-folder-exists         Scripting.FileSystemObject.FolderExists(x)에 대해 `false` 반환                          
--function-rewrite         eval 호출을 잡기 위해 함수 호출 다시 작성                                              
--no-rewrite-prototype     `function A.prototype.B()`와 같은 표현식을 `A.prototype.B = function()`으로 다시 작성하지 않음 
--no-hoist-prototype       `function A.prototype.B()`와 같은 표현식을 호이스트하지 않음 (no-rewrite-prototype에 의해 암시됨) 
--no-shell-error           `WScriptShell.Run` 실행 시 가짜 오류를 발생시키지 않음 (기본값: 가짜 오류를 발생시켜 
                           배포 사이트가 다운된 것처럼 위장하여 스크립트가 모든 사이트를 폴링하도록 함)                  
--no-typeof-rewrite        `typeof`를 다시 작성하지 않음 (예: `typeof ActiveXObject`는 JScript 표준에서 
                           'unknown'을 반환해야 하며 'object'가 아님)                                              
--proxy                    [실험적] 다운로드에 지정된 프록시 사용. --download 플래그가 없으면 관련 없음.               
--windows-xp               Windows XP 에뮬레이션 (환경 변수 값에 영향)                                              
--dangerous-vm             `vm2` 대신 `vm` 모듈 사용. 이 샌드박스는 깨질 수 있으므로 **절대 사용하지 마세요**. 
                           올바른 스택 트레이스를 제공하여 디버깅에 도움.                                            
--rewrite-loops            일부 유형의 루프를 다시 작성하여 분석 속도 향상                                           
--throttle-writes          많은 양의 데이터를 쓰는 파일 쓰기의 보고 및 데이터 추적 제한                               
--throttle-commands        동일한 명령이 매우 많이 실행된 경우 분석 중지                                           
--extract-conditional-code JScript 조건부 주석(/*@if(...)에서 분석할 실제 코드 추출                                
--loose-script-name        == 검사를 다시 작성하여 현재 스크립트 이름과 하드코딩된 스크립트 이름의 비교가 항상 
                           true를 반환하도록 함.                                                                  
--real-script-name         현재 분석 중인 스크립트의 실제 파일 이름을 반환(가짜 이름 대신).                          
--activex-as-ioc           모든 ActiveX 호출을 IOC로 기록하고 JS 소스에서 호출이 난독화되었는지 확인 시도.            
--ignore-wscript-quit      WSCript.Quit() 호출을 무시하고 계속 실행.                                            
--ignore-rewrite-errors    샘플 다시 쓰기 실패 시 원본 샘플 분석.                                                 

Using a 10 seconds timeout, pass --timeout to specify another timeout in seconds
Analyzing sample.js
Header set for http://foo.bar/baz: User-Agent Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)
Emulating a GET request to http://foo.bar/baz
Downloaded 301054 bytes.
Saved sample.js.results/a0af1253-597c-4eed-9e8f-5b633ff5f66a (301054 bytes)
sample.js.results/a0af1253-597c-4eed-9e8f-5b633ff5f66a has been detected as data.
Saved sample.js.results/f8df7228-7e0a-4241-9dae-c4e1664dc5d8 (303128 bytes)
sample.js.results/f8df7228-7e0a-4241-9dae-c4e1664dc5d8 has been detected as PE32 executable (GUI) Intel 80386, for MS Windows.
http://foo.bar/baz is an active URL.
Executing sample.js.results/d241e130-346f-4c0c-a698-f925dbd68f0c in the WScript shell
Header set for http://somethingelse.com/: User-Agent Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)
Emulating a GET request to http://somethingelse.com/
...

{
	"9a24...": {
		"path": "(path)\\foo.txt",
		"type": "ASCII text, with no line terminators",
		"md5": "86fb269d190d2c85f6e0468ceca42a20",
		"sha1": "d3486ae9136e7856bc42212385ea797094475802",
		"sha256": "c0535e4be2b79ffd93291305436bf889314e4a3faec05ecffcbb7df31ad9e51a"
	}
}

cc decoder.c -o decoder
./decoder foo.jse bar.js
node run bar.js

1 Jan 00:00:00 - Unknown ActiveXObject WinHttp.WinHttpRequest.5.1
Trace
    at kill (/home/CapacitorSet/box-js/run.js:24:10)
    at Proxy.ActiveXObject (/home/CapacitorSet/box-js/run.js:75:4)
    at evalmachine.<anonymous>:1:6471
    at ContextifyScript.Script.runInNewContext (vm.js:18:15)
    at ...

function ActiveXObject(name) {
	name = name.toLowerCase();
	/* ... */
	switch (name) {
		case "wscript.shell":
			return require("./emulator/WScriptShell");
		/* ... */
		default:
			kill(`Unknown ActiveXObject ${name}`);
			break;
	}
}

/* emulator/WinHttpRequest.exe */
const lib = require("../lib");

module.exports = function ProxiedWinHttpRequest() {
	return new Proxy(new WinHttpRequest(), {
		get: function(target, name, receiver) {
			switch (name) {
				/* 여기에 case 문으로 "특별한" 트랩을 추가 */
				default:
					if (name in target) return target[name];
					else lib.kill(`WinHttpRequest.${name} not implemented!`)
			}
		}
	})
}

function WinHttpRequest() {
	
}

1 Jan 00:00:00 - WinHttpRequest.open not implemented!
Trace
    at kill (/home/CapacitorSet/box-js/run.js:24:10)
    at Object.ProxiedWinHttpRequest.Proxy.get (/home/CapacitorSet/box-js/run.js:89:7)

function WinHttpRequest() {
	this.open = function(method, url) {
		URLLogger(method, url);
		this.url = url;
	}
}