JSE (JScript encodé) — fichier .jse

Le JSE contient du code JScript passé par le Microsoft Script Encoder, un outil qui substitue chaque caractère du code source selon un jeu de trois alphabets fixes, à seule fin de rendre le script illisible à l’œil nu — il ne s’agit ni d’une compression ni d’un chiffrement au sens cryptographique.

Sa signature commence systématiquement par “#@~^” (23 40 7E 5E en hexadécimal), suivie du contenu encodé puis d’une séquence de fermeture propre au format : un marqueur reconnaissable qui distingue un JSE d’un fichier JS en clair dès les premiers octets.

Windows Script Host décode ce contenu à la volée avant exécution, exactement comme il exécuterait un fichier JS ordinaire : l’encodage ne constitue donc aucune protection réelle contre l’exécution de code arbitraire, seulement un obstacle à la lecture humaine directe. L’algorithme de substitution ayant été intégralement rétro-ingénié il y a des années, plusieurs décodeurs sont disponibles publiquement pour restituer le JScript d’origine.

L’usage légitime du Script Encoder — protéger un code commercial de la copie visuelle — a largement disparu, tandis que l’opacité qu’il procure continue d’être exploitée pour dissimuler du code malveillant dans un fichier qui, contrairement à un VBS ou un WSF en clair, ne révèle rien de son contenu à une simple ouverture dans un éditeur de texte.

Microsoft avait introduit cet encodage à la fin des années 1990 pour un usage bien précis : permettre à un développeur de pages ASP côté serveur (IIS) de dissimuler la logique de son code source aux visiteurs du site, à une époque où certaines parties du script pouvaient autrement être exposées par erreur de configuration du serveur.