|
|
今天碰到一个网站的源码用的是以下的加密方式,看起来很乱但又有一定的规律,找了下破解方式) \- j) v5 a7 h/ ?! Y+ K
文件加密方式,变量混淆+字符串加密) n6 Z5 ^! B3 `1 B3 [
文件原始内容 :
' I7 w- A2 b1 O+ V $OOO0O0O00=__FILE__;- ^) z! J: B# x7 v( c+ R% q4 q
$OOO000000=urldecode('%74%68%36%73%62%65%68%71%6c%61%34%63%6f%5f%73%61%64%66%70%6e%72');
+ q0 P; q2 K9 t7 }+ @- t8 V $OO00O0000=164;
. k0 D4 d- F5 {4 f; g9 U $OOO0000O0=$OOO000000{4}.$OOO000000{9}.$OOO000000{3}.$OOO000000{5};, m$ p$ Z$ `4 [$ h9 r. H* b d5 h
$OOO0000O0.=$OOO000000{2}.$OOO000000{10}.$OOO000000{13}.$OOO000000{16};$ r: Q) U7 D' i j9 \1 F
$OOO0000O0.=$OOO0000O0{3}.$OOO000000{11}.$OOO000000{12}.$OOO0000O0{7}.$OOO000000{5};3 w2 ]! ?- W, J0 @+ Y
$O0O0000O0='OOO0000O0';7 A) ]+ Q* h- K6 h
eval(($$O0O0000O0('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')));2 r6 l8 t! s0 @+ I. K
return;?>1 s! K) W& b1 n0 }8 E3 m" r/ ~- @
这是一段php代码,后面跟了一串加密过的字符串。
. x8 D' W0 C6 h6 A5 B8 J 很显然,开头的这几行代码是执行解密的,或者是解密的前秦工作。: r/ ]1 h5 p7 d6 i
进行分析:
& T8 P/ N, O( {% f' U+ x$ M7 [+ P $OOO0O0O00=__FILE__;//本文件路径和文件名5 _' }9 G$ B- A& P2 }' i
//字符串用于下面构造新的字符串8 M8 |+ l y+ _1 v# ?
$OOO000000=urldecode('%74%68%36%73%62%65%68%71%6c%61%34%63%6f%5f%73%61%64%66%70%6e%72');
4 b+ Z2 b0 b: h5 X6 c8 t //下面几行构造字符串base64_decode. d* I" Q2 Z( M/ t, a
$OOO0000O0=$OOO000000{4}.$OOO000000{9}.$OOO000000{3}.$OOO000000{5};1 R% l5 O& j& b# x5 E! c! _
$OOO0000O0.=$OOO000000{2}.$OOO000000{10}.$OOO000000{13}.$OOO000000{16};; F. e8 \% s) @5 }+ j ~
$OOO0000O0.=$OOO0000O0{3}.$OOO000000{11}.$OOO000000{12}.$OOO0000O0{7}.$OOO000000{5};
1 e9 `$ I- x9 I, S //下面通过base64 decode生成一段读取自身文件的代码,先读取了若干字节,丢弃了,分析可能是头部执行初步解密的PHP代码,接着又读取700字节,进行字符串变换 base64_decode之后,得到一段继续读取文件解密的代码,经分析发现,第二次读取的700 字节中包含一版权声明的代码。第三次读取文件后经过解密,得到了原始代码 。解密过程分析完毕,下面开始写破解算法,4 l* q9 v( Z: `% r7 Q1 l
function crack($src, $dst) {. p9 x$ |2 R* E' ?4 s) n- q: R5 b
$content = file_get_contents($src);
( n/ z8 b" l: s, D( u $pos = strpos($content, '?>');
, v/ n' K1 X, F) C2 z0 q //删除读取文件的代码" `9 X Q" }( e/ n" c6 |
$code = substr($content, $pos + 3);
+ I9 v! K. D. x7 l //删除解码代码
$ {8 \$ o2 ~+ B" b& R $code = substr($code, 700);6 D& b5 L2 F- F7 [
//解码目标代码
/ R- [; x- j: [ k! h6 ` $cracked = base64_decode(strtr($code, 'EnteryouwkhRHYKNWOUTAaBbCcDdFfGgPpQqSsVvXxZz0123456789+/=', 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklvwxyz0123456789+/'));. y7 }5 M V( y j% x& W
//写入目标文件$ U1 k0 m5 X6 B6 \) I
file_put_contents($dst, "<?php " . $cracked . " ?>");
8 {! {/ n" ~4 c2 w- k. N; \3 A log_info("解码文件:$src 至 $dst 完成");
4 R% V% ~# U: K# ~+ u3 T }
: k& |2 J; A8 r) D+ S+ L" N3 u8 i$ Y 使用该函数对加密的文件进行解密,打开解密的文件 ,格式化代码,原始代码完善呈现!
. L0 W/ K% k: H# t在线解密工具:http://www.niusoso.net/vidun-decode.php+ y: x2 s. J; u5 @
# L+ z) Z1 }" `, S7 Z( \) W( U" Q) [6 k; E
|
|