前言

熟悉 JS 的都知道，原生函数转成字符串，显示的是 native code：

alert + ''    // "function alert() { [native code] }"

如果用自己的函数对其重写，显示的则是自己的代码：

alert = function(s) { console.log(s) }
alert + ''    // "function(s) { console.log(s) }"

有没有什么黑魔法，让自己的函数也变成 native code，从而掩盖这个破绽?

toString

最容易想到的办法，就是重写函数的 toString 方法：

alert = function(s) { console.log(s) }
alert.toString = () => "function alert() { [native code] }"

alert.toString()    // "function alert() { [native code] }"

不过这种办法破绽极多，例如调用原生 toString 即可将其原形毕露：

Function.prototype.toString.call(alert)   // "function(s) { console.log(s) }"

即便原生 toString 也被重写，还可创建 iframe 页面获取未被污染的原生 toString。

事实上这个办法并没有改变函数本质，只是改变观察结果而已。

bind

在《如何让 JS 代码不可断点》文中提到，通过 bind 方法创建的新函数，其实是原生的。

我们来验证对比下：

// 原生结果
console.log('before:', alert + '')    // "function alert() { [native code] }"

alert = (function() {
  function alert(s) {
    console.log('test:', s)
  }
  return alert.bind(window)
})()

// 重写结果
console.log('after:', alert + '')     // "function () { [native code] }"

alert('hello bind')

两者主体部分都为 [native code]。不过重写后的结果少了函数名，比原生更短。算是一个小破绽。

此外，除了字符串结果不同，函数的 name 和 length 属性也有差异：

// 原生值
console.log('before:', alert.name)    // "alert"
console.log('before:', alert.length)  // 0

alert = (function() {
  function alert(s) {
    console.log('test:', s)
  }
  return alert.bind(window)
})()

// 重写值
console.log('after:', alert.name)     // "bound alert"
console.log('after:', alert.length)   // 1

运行前刷新页面

可见通过 bind 创建的新函数，其 name 属性会多一个 bound 前缀（中间有个空格），也算是个小破绽。

由于我们的 alert 函数声明了一个 s 参数，导致其 length 属性变成了 1，而原生的则为 0。

当然函数的 length 属性可随意伪造，只需声明相应个数的形参即可。使用 ...rest 这种剩余参数声明的形参，不会增加 length 值。

function A(...args) {}
A.length    // 0

function B(i, ...args) {}
B.length    // 1

Proxy

提到重写、切面等概念时，不得不联想到一个功能强大的 API —— Proxy，不少黑魔法都借助它实现。

先来试下，被代理的函数转成字符串是什么结果：

new Proxy(function F() {}, {}) + ''    // "function () { [native code] }'

和上述 bind 结果类似，虽有 native code，但少了函数名。

下面完整对比下，包括 name 和 length 属性：

console.log('before:', alert + '')      // "function alert() { [native code] }"
console.log('before:', alert.name)      // "alert"
console.log('before:', alert.length)    // 0

alert = (function() {
  function alert(...args) {
    console.log('test:', ...args)
  }
  return new Proxy(alert, {})
})()

console.log('after:', alert + '')       // "function () { [native code] }"
console.log('after:', alert.name)       // "alert"
console.log('after:', alert.length)     // 0

alert('hello proxy')

相比 bind 方案，Proxy 不会修改 name 属性，因此破绽更少。

不过在 Safari 浏览器上有明显的破绽，函数转成字符串后变成：

function ProxyObject() {
    [native code]
}

WebAssembly

由于 JS 程序是文本格式的，因此函数 toString 的结果自然能包含相应的代码。如果是二进制程序，那么 toString 的结果又会是什么？这个问题，可以用 WebAssembly 的导出函数来验证。

MDN 文档 中提到，WebAssembly 导出的函数会显示成 native code。

我们构造一个精简的 WebAssembly 程序，将导入的 x.y 函数导出成 z 函数：

(module
  (func (export "z") (import "x" "y") (param externref))
)

使用 wat2wasm 将其转成二进制数据，并进行封装：

function genNativeFunction(callback) {
  const buf = new Uint8Array([
    0, 97, 115, 109, 1, 0, 0, 0, 1, 5, 1, 96, 1, 111, 0, 2, 7, 1, 1, 120, 1, 121, 0, 0, 7, 5, 1, 1, 122, 0, 0, 0, 10, 4, 110, 97, 109, 101, 2, 3, 1, 0, 0
  ])
  const mod = new WebAssembly.Module(buf)
  const obj = new WebAssembly.Instance(mod, {x: {y: callback}})
  return obj.exports.z
}

alert = (function() {
  function alert(...args) {
    console.log('test:', ...args)
  }
  return genNativeFunction(alert)
})()

console.log(alert + '')     // "function 0() { [native code] }"
console.log(alert.name)     // "0"
console.log(alert.length)   // 1

alert('hello wasm')

WebAssembly 导出函数转成字符串后确实包含 native code，不过破绽也非常明显，其中的函数名居然是一个数字！正常的 JS 函数显然不可能以数字命名。破绽 +1。

同样 name 属性也变成了数字。破绽 +2。

并且 WebAssembly 函数的形参数量是固定的，因此 length 属性也难以伪造。破绽 +3。

因此这个方案虽然有趣，但并不隐蔽。

当然在奇葩的 Safari 上，返回结果并不包含函数名，并且 name 属性是个空字符串。不过这依然是个大破绽。

此外在 Chrome 上，调试器单步断点（F11）无法进入 WebAssembly 的导出函数：

debugger
alert(123)

看来之前的《如何让 JS 代码不可断点》又可以新增一个黑魔法了。

总结

想要完美伪造一个原生函数还是非常困难的，多多少少总有一些破绽。

如果有更好的方案，欢迎补充~