ROT13混淆Shell脚本运行原理、功能及解码方法技术咨询

这是经过ROT13（13位字符移位）混淆的Shell脚本，目的是隐藏真实执行逻辑、绕过安全规则检测，最终会解码执行f-04-erfhygnqbf-rap.fu文件内的加密脚本并运行。

• 此处tr命令的工作逻辑是什么？
  tr是Shell内置的字符替换命令，这里用的参数'A-Za-z' 'N-ZA-Mn-za-m'是标准的ROT13加密/解密规则：26个英文字母每个字符循环移位13位，A-M对应替换为N-Z，N-Z对应替换为A-M，小写字母规则一致。因为13是26的一半，对同一内容执行两次该tr命令即可还原原始内容。
  这里的执行逻辑是将<<EOF包裹的多行内容先经过tr做ROT13解码，再通过管道传给bash -执行。

• <<EOF（Here Document）的作用机制是什么？
  Here Document是Shell中用来向命令传递多行标准输入的语法，两个EOF标记之间的所有内容都会作为输入传给标记前的命令，不需要单独创建临时文件存储输入内容。

• /ova/onfu对应的实际内容是什么？
  将该字符串做ROT13解码即可得到真实内容：/ova/onfu → /bin/bash，就是系统默认的bash解释器路径，只是做了混淆处理避免直接暴露解释器身份。

• 此处的ge比较逻辑是如何运行的？
  你对ge的理解完全错误，ge同样是ROT13加密后的内容，解码后得到的是tr，本质是字符替换命令，不存在任何比较逻辑。
  后面的'!-~' 'C-~!-B'是tr命令的参数：!-~覆盖所有ASCII可打印字符，该参数表示将所有可打印字符循环右移2位，属于凯撒密码类的简单字符移位编码。
  管道后的onfu解码后为bash，也就是将移位解码后的内容传给bash执行。

• 该脚本对输出做了重编码，如何还原原始内容？
  首先你可以先把混淆的内层脚本解码得到真实执行逻辑：对EOF之间的两行内容经过ROT13解码后得到的真实代码如下：

#!/bin/bash
tr '!-~' 'C-~!-B' < f-04-erfhygnqbf-rap.fu | bash -

要还原f-04-erfhygnqbf-rap.fu的原始内容，执行反向移位命令即可：

tr 'C-~!-B' '!-~' < f-04-erfhygnqbf-rap.fu > original_raw.sh

执行后original_raw.sh就是未加密的原始脚本内容。

内容的提问来源于stack exchange，提问作者avelardo