原文作者:Jasper Cashmore 原文链接:> A Javascript journey with only six characters 译者: > 赵吉彤

    (声明:转载本文请联系译者)
    JavaScript是一门神奇且奇妙的编程语言,我们有时候用它来写一些看似疯狂的代码,但这些代码依然可被执行且运行结果十分有趣。JavaScript 试图帮助我们将一些数据类型转化为我们所认为的数据类型。
    如果我们定义一个字符串常量,它会假设我们希望添加的是文本形式,所以 JavaScript 会把它转化为字符串类型。
    如果我们加上『+』『-』前缀,JavaScript 会认为我们需要它以数值形式表示,如果条件允许,它甚至会把字符串也转换为数值类型。
    如果我们添加「表示否定的符号」,JavaScript 会将它转换为布尔类型。
    我们可以利用 “ [ “ ,” ] “ ,” ( “ ,” ) “ ,” ! “ 和 “ + “ 六个字符做一些神奇的事情,如果你现在使用电脑浏览器阅读这篇文章,你可以在阅读的同时,打开浏览器的控制台,复制代码,粘贴并执行。
    让我们从基础开始,先记住以下黄金法则:

    • 「 ! 」后面接的字符会被转换为布尔值。
    • 「 + 」后面接的字符会被转换为数值。
    • 「 [ ] 」后面接的字符会被转换为字符串。

    来看下面的例子:

    1. ![] === false
    2. +[] === 0
    3. []+[] === ""

    你需要知道,字符串可以像数组一样,以方括号下标的形式从字符串检索特定字母:

    1. "hello"[0] === "h"

    你也应该知道,我们也可以将多个字符连接成字符串,然后将整个表达式转换成数值:

    1. +("1" + "1") === 11

    好的,我们继续把他们结合在一起来得到字母「 a 」:

    1. ![] === false
    2. ![]+[] === "false"
    3. +!![] === 1
    4. ------------------------
    5. (![]+[])[+!![]] === "a" // 和"false"[1]相同原理

    所以,我们利用上述字符的一些简单组合就可以得到「 true 」和「 false 」中的字母,比如「 t 」「 r 」「 u 」「 e 」「 f 」「 a 」「 l 」「 s 」。那么我们可以得到其他字母吗?
    当然,我们可以通过「 [ 」「 ] 」的简单组合来得到「undefined」,也就是说利用刚提到的黄金法则,我们又得到了「 d 」「 i 」「 n 」三个字母。

    1. [][[]] + [] === "undefined"

    目前为止,我们用已获得的字母就可以拼出「 fill 」「 filter 」 和「 find 」单词,当然还有一些其他的单词。但还需注意, 这些单词都具有数组的方法。这意味着他们是数组对象的一部分,可以直接调用数组实例,如:[2,1].sort()。
    现在,我们要了解 JavaScript 另一个重要特性:一个对象的属性可以通过点符号.或方括号[]访问。上述数组方法是数组对象本身的属性,我们可以使用方括号代替点,来调用这些方法。
    所以说 [2,1]“sort”[2,1].sort() 是等效的。

    来让我们继续深入尝试,看看用数组方法调用还会发生什么。我们可以试着用刚才得到的字母拼写出单词,并将这些单词作为方法调用。看下面的例子:

    1. []["fill"]

    这样会得到:

    1. function fill() { [native code] }

    我们可以再次使用我们的黄金法则,将这个方法头转换为字符串:

    1. []["fill"]+[] === "function fill() { [native code] }"

    到目前为止,我们就又得到了「c」「o」「v」「(」「)」「{」「}」「[」「]」这些字母或者符号。
    由于我们新获得了「c」和「o」两个字母,就可以和以前的字母组合成「constructor」(构造函数)单词。
    constructor 方法被所有 JavaScript 对象所共有,而且它会返回构建该对象的函数。
    (对constructor属性不熟悉的朋友可以先补补课,JavaScript 中对象的 constructor 属性的作用是什么? - ECMAScript ,译者按)

    接下来让我们把已经得到的对象的构造函数,以字符串形式展现出来:

    1. true["constructor"] + [] === "function Boolean() { [native code] }"
    2. 0["constructor"] + [] === "function Number() { [native code] }"
    3. ""["constructor"] + [] === "function String() { [native code] }"
    4. []["constructor"] + [] === "function Array() { [native code] }"

    这样一来,我们又得到了「B」「N」「S」「A」「m」「g」「y」这些字母,我们把它们添加到我们的『字母库』。现在我们可以用字母库中的字母,构造一个可用方括号的函数「toString」。
    我们可以这样调用它:

    1. (10)["toString"]() === "10"

    我们已经可以利用黄金法则,将任何我们想要的东西转换成字符串。但我们要怎么使用呢?
    好的,我现在告诉你,「Number」类型的「toString」方法有一个称为「radix」(基数)的秘密的论点。它规定一个数值在转换为字符串之前先进行基数换算,像这样:

    1. (12)["toString"](10) === "12" // 十进制
    2. (12)["toString"](2) === "1100" // 二进制
    3. (12)["toString"](8) === "14" // 八进制
    4. (12)["toString"](16) === "c" // 十六进制

    但是为什么基数最大为16?正常来说最大为36。但这样一来,我们就得到了包括从「 0 - 9 」「 a - z 」所有数字和字符。

    1. (10)["toString"](36) === "a"
    2. (35)["toString"](36) === "z"

    但是其他的字符该怎么办呢?比如标点字符和大写字符?我们接着向下摸索!
    由于你的 JavaScript 代码执行环境不同,不能确定它是否可以成功访问到你预定义的对象或数组。如果你在浏览器中执行,它可能会访问到遗留的 HTML包装器方法
    比方说,「bold」是一个包装在 标签中的字符串方法。

    1. "test"["bold"]() === "<b>test</b>"

    这样一来,我们又得到了「 < 」「 > 」「 / 」字符。
    可能你以前听说过「escape」函数。它主要作用是将一个字符串,转换成一种浏览器友好的 URL 格式,并且能够被常见的浏览器识别和解析。
    为了达成最终目标,这个函数的功能十分重要,所以我们要努力实现并合理利用它。我们虽然能用「字母库」中的字母拼写出「escape」单词,但我们该如何将它真正的执行出来?
    「escape」是一个全局作用域下的函数,就是说它不属于我们目前为止处理过的任何函数类型。
    那么任意函数的构造函数是什么呢?

    答案是:「 function Function() { [native code] } 」。

    1. []["fill"]["constructor"] === Function

    利用这一点,我们能通过一串代码来构造一个实际功能的函数。

    1. Function("alert('test')");

    也能得到:

    1. Function anonymous() {
    2. alert('test')
    3. }

    我们只需在结束执行时弹出「 ( ) 」,就可以立即调用并执行「 alert 」函数。
    是的,我们现在可以编译执行字符串构成的代码了。
    所以接下来,我们像下面所示,使用「 escape 」函数:

    1. []["fill"]["constructor"]("return escape(' ')")() === "%20"

    如果我们在「 escape 」函数中传入「 < 」字符,我们会得到「 %3C 」。哈哈,这样我们又得到了字母「 C 」,如果你想拼出我们缺少的其他单词,那么「 C 」字母是非常必要的。

    1. []["fill"]["constructor"]("return escape('<')")()[2] === "C"

    利用字母「 C 」,我们可以写出「 fromCharCode 」函数了,这个函数的功能是将我们给定的十进制数转换为「 Unicode 」码。它是「 String 」对象的一部分,像我们以前一样,调用它的构造函数得到我们所需的字符:

    1. ""["constructor"]["fromCharCode"](65) === "A"
    2. ""["constructor"]["fromCharCode"](46) === "."

    我们利用 「 Unicode Lookup: convert special characters 」工具能够很容易地找到任何字符的十进制表示形式。
    嘿,伙计!我们终于大功告成!
    现在,我们能够只用这六个字符获取任何一个其他字符,我们能将他们拼接起来,拼接出一行行代码,我们也能成功执行它们。

    这意味着在 JavaScript 中,我们仅仅用「 [ 」「 ] 」「 ( 」「 ) 」「 + 」「 ! 」六个字符,就可以完成 图灵完备测试( Turing completeness )!!
    你想证实一下?在你的控制台中运行文章最后的代码吧~

    这几个字符有很大作用吗?
    事实并非如此,不久前 eBay 网利用这些做了一些不好的事情,它允许一些卖家将这些字符以某种形式嵌入店铺主页的 JavaScript 代码中,并执行它们,这是一个相当罕见的攻击方式。
    一些人可能会提到代码混淆,但事实上,这将是一种更好的代码混淆方式。
    希望你喜欢这篇有意思的探秘文章。 参考文献:> - JSFuck