某PHP加密文件调试解密过程

原贴地址:https://www.52pojie.cn/thread-693221-1-1.html

出于对破解的文件的作者的尊重,文章末尾的附件已经将数据部分去除,仅保留了算法部分,需要使用完整文件去原贴下载。

实验样本

据说“加密效果同行最高”?

简单分析一下

先看看加密后的文件

可以看出这是一个正常的 php 文件,只不过所有的变量名都是乱码,还真亏了 php 引擎支持任意字符集的变量名,这个加密后的文件变量名的字节部都在 ASCII 范围以外,全是 以上的字符。

我们看到中间有一个 php 代码段结束标签 ,而他的前面还有一个 来结束脚本运行,这说明结束标签后面的数据都不会被正常输出,后面极可能是源文件加密后的数据,而前面的 php 代码只是用来解密的。

调试之前的准备

这里使用的 IDE 是 (最开始我使用的是 ,后来我发现 的效果更好)。

首先,安装 插件。

然后,按照 https://xdebug.org/docs/install 的说明安装 插件。

注意:运行未知的 php 代码还是很危险的,最好能在虚拟机上运行,真机上一定要保证你的 和 调试插件可以正常下断点。断开网络。最好同时打开任务管理器,一旦发生未知现象(比如 CPU 占用率或磁盘占用率),或者调试断点没断下来,或者出现某些问题,立刻结束 php 进程。

开始调试

代码格式化

这个代码太乱了,我们需要格式化一下代码。

最开始我用的是 PHPStorm 自带的代码格式化,格式化之后数据变了,PHPStorm 对未知字符集的支持还是比较差的。

然后我就想对 php 文件的 ( 抽象语法树)进行分析,看能不能顺便把变量名都改成可显示字符。后来想想似乎不行,因为这种代码肯定是带 的,改了变量名之后, 的字符串中的变量名就对应不上了。

我找到了这个工具:https://github.com/nikic/PHP-Parser

首先 。

然后将下列代码保存到一个文件中(比如 ),读取下载下来的 ,把格式化之后的代码写入 。

然后,执行 。

使用这个方法格式化的 php 文件内容并没有被损坏,我们可以继续分析了。

如果,还不行,那就只能用十六进制编辑器查找 和 手动替换了,添加 了。

调试

最前面这两行我们得先注释掉,不然出了什么错误的话会莫名其妙的。

保存。然后完蛋了,代码又乱了。

我们需要一个支持非可显示字符的编辑器,或者...更改显示编码,选择一个不是多字节的字符集,比如

现在,开始我们的调试。

在第一行下断点。执行 运行程序。然后单步调试,一边执行,一边注意变量的值,分析函数的执行流程。

使用 的调试功能,我们可以方便的查看变量的具体内容。

单步调试到这一行,似乎有些不对劲。

我们用命令行运行的,所以执行完这一句,肯定程序就结束了。

那就让他结束吧,我们把这一行注释掉,在他下面下断点。重新运行程序。

下面这行是就是读取当前文件,这句话没有什么问题。

然后就又是验证运行环境。

注释掉,保存,重新运行。

当然,也可以通过调试控制台,执行类似 这类指令,来让验证通过。

再看下面的代码,我想到 exe 反调试了,不得不佩服想这个方法的人。防止下断点调试的,如果下断点调试,这里就超过 100 毫秒了。

我们直接在这条语句之后下断点,让他们一连串执行完,这样就不会超过 100 毫秒了。当然,直接注释掉是最粗暴的方法。

下面的 我们需要通过“单步进入”来研究,不过结果是对我们的影响不大,当然注释掉也没问题。

接下来这个就是校验数据完整性的了

这里的 和 都没有定义。如果验证失败,就会调用 会直接 退出程序。而如果验证成功,虽然 变量不存在,但是只是一个 ,并没有太大问题。

就是文件中最后一个函数,专门负责字符串解码的。

这个验证方法就是把文件尾部分解密和前面的文件主体部分的 md5 对比,这次执行肯定又不能通过。

退出程序,注释掉,再重新运行。

我们找到了这个解码的关键语句了,可以看到解密之后的代码已经出来了。

到了代码的最后,终于要执行脚本了。

折腾了半天,还是 语句。

如何把内容输出呢。直接在 后面加上一行 就可以了。

成果

通用解密程序

我们可以继续分析一下他的解密算法

算法是固定的,只是其中内联了一个秘钥,我们只要通过字符串函数截取出这个秘钥就可以了。

最后的解码程序如下。

这个程序可以解密此网站全部免费加密的代码。

使用方法:

总结

php 这种动态解释语言还想加密?做梦去吧。不过混淆还是有可能的。

这个代码中的暗桩挺有意思,算是学到了点知识。

php 这种东西为什么要加密?php 的开源社区多么庞大。

附录

代码赏析

附件下载见论坛原帖。

--官方论坛

--推荐给朋友

公众微信号:吾爱破解论坛

  • 发表于:
  • 原文链接:http://kuaibao.qq.com/s/20180131G0ZIJN00?refer=cp_1026

扫码关注云+社区