O que é ofuscação por JavaScript e por que é uma ameaça?

O AVG me disse recentemente que uma página da web foi bloqueada devido a ofuscação do JavaScript .

Por que a página da web foi bloqueada e o que exatamente isso significa?

Ocultação é um meio de "obscurecer" o verdadeiro significado e a intenção do seu código javascript. Alguns sites o usam como um obstáculo para as pessoas que desejam copiar / emprestar seu código. Outros sites o usam como um meio de ocultar a intenção real do código.

Algumas formas de obscurecimento:

1. Renomear variáveis ​​automaticamente para abreviar nomes sem sentido para tornar o código menos legível e mais difícil de entender.
2. Removendo todo o espaço em branco extra e quebras de linha, para que o código seja uma linha longa gigante.
3. Tornar partes do código autogeradas para que uma primeira passagem do código seja executada para criar o código real que será executado para executar a operação pretendida.
4. Usa códigos de caracteres e manipulação de strings combinados com eval, em vez do código javascript normal, para construir o código real que seria executado.

A obscuridade não é, por si só, ruim, mas pode ser usada para tentar ocultar uma intenção maligna e é provavelmente para isso que o AVG se opunha. Ele detectou tanta obscuridade que não sabia se o javascript estava tentando fazer algo que estava tentando impedir. Como tal, declarou o código como inseguro por padrão, pois não pode verificar se o código parece bom.

Ofuscação refere-se a ocultar o significado pretendido de alguma coisa.

Nesse caso, um snippet JavaScript claramente legível, como

window.onload = function() { alert("Hello " + username) };

pode ser substituído por

var _0xc5b2=["\x6F\x6E\x6C\x6F\x61\x64",
        "\x48\x65\x6C\x6C\x6F\x20"];window[_0xc5b2[0]]=
    function (){alert(_0xc5b2[1]+username);} ;

ou mesmo

eval(unescape("var%20_0xc5b2%3D%5B%22onload%22%2C%22Hello%20%22%5D%3Bwindow"+
  "%5B_0xc5b2%5B0%5D%5D%3Dfunction%20%28%29%7Balert%28_0xc5b2%5B1%5D+username"+
  "%29%3B%7D%20%3B"));

Todos os três trechos de código fazem exatamente a mesma coisa, mas somente a leitura do primeiro permitirá que você entenda suas intenções facilmente.

Aparentemente, o AVG tenta entender o objetivo do código JavaScript antes de permitir sua execução. Quando o código é ofuscado, o AVG provavelmente falhará. Daí o aviso.

Dito isto, alguns sites ofuscam seu JavaScript não por causa de más intenções, mas para dificultar o roubo de seu trabalho. A ofuscação geralmente é inútil se usada para esse fim, mas o ponto é que a ofuscação não significa necessariamente más intenções.