|
|
今天碰到一个网站的源码用的是以下的加密方式，看起来很乱但又有一定的规律，找了下破解方式
$ f6 g6 T+ h d5 H文件加密方式，变量混淆＋字符串加密
$ [! i P t, h3 _! D 文件原始内容 ：
4 [5 M( X3 r, j- L1 ^+ Y $OOO0O0O00=__FILE__;
5 p1 C# i+ N) ` F, }, x $OOO000000=urldecode（'%74%68%36%73%62%65%68%71%6c%61%34%63%6f%5f%73%61%64%66%70%6e%72'）;
1 M+ L- k8 s+ k, ]4 A2 z h9 F3 ~; \ $OO00O0000=164;, w7 k6 ~) s2 v2 J, b4 z
$OOO0000O0=$OOO000000{4}.$OOO000000{9}.$OOO000000{3}.$OOO000000{5};
. \; r( n" i q: O' m! a2 [ $OOO0000O0.=$OOO000000{2}.$OOO000000{10}.$OOO000000{13}.$OOO000000{16};
$ U1 C" e, N5 K+ {0 f $OOO0000O0.=$OOO0000O0{3}.$OOO000000{11}.$OOO000000{12}.$OOO0000O0{7}.$OOO000000{5};
3 r2 }( r) u7 b/ v7 `1 E9 O $O0O0000O0='OOO0000O0';& D% U0 H' j0 c/ D# q
eval（（$$O0O0000O0（'JE9PME9PMDAwMD0kT09PMDAE3fS4kT09PMDAwAwezEyfS4kT09PMDAwMDAwezE4fS4kT09PMDAwMDAwezV9LiRPT08wMDAwMDB7MTl9O2lmKCEwKSRPMDAwTzBPMDA9JE9PME9PMDAwMCgkT09PME8wTzAwLCdyYicpOyRPTzBPTzAwME89JE9PTzAwMDAwMHsxN30uJE9PTzAwMDAwMHsyMH0uJE9PTzAwMDAwMHs1fS4kT09PMDAwMDAwezl9LiRPT08wMDAwMDB7MTZ9OyRPTzBPTzAwTzA9JE9PTzAwMDAwMHsxNH0uJE9PTzAwMDAwMHswfS4kT09PMDAwMDAwezIwfS4kT09PMDAwMDAwezB9LiRPT08wMDAwMDB7MjB9OyRPTzBPTzAwME8oJE8wMDBPME8wMCwxMjYxKTskT08wME8wME8wPSgkT09PMDAwME8wKCRPTzBPTzAwTzAoJE9PME9PMDAwTygkTzAwME8wTzAwLDcwMCksJ0VudGVyeW91d2toUkhZS05XT1VUQWFCYkNjRGRGZkdnSWlKakxsTW1QcFFxU3NWdlh4WnowMTIzNDU2Nzg5Ky89JywnQUJDREVGR0hJSktMTU5PUFFSU1RVVldYWVphYmNkZWZnaGlqa2xtbm9wcXJzdHV2d3h5ejAxMjM0NTY3ODkrLycpKSk7ZXZhbCgkT08wME8wME8wKTs='）））;
- g/ l& |* B) S _- v return;?>
; R* {& M4 W' \1 ~% } 这是一段php代码，后面跟了一串加密过的字符串。. `1 R' N7 Q( S' z
很显然，开头的这几行代码是执行解密的，或者是解密的前秦工作。
' Z0 N1 ~+ x! j( x$ [' W$ G/ e 进行分析：7 r* o0 Z3 Q0 t2 B/ j s
$OOO0O0O00=__FILE__;//本文件路径和文件名
1 u4 W; H& ~9 g //字符串用于下面构造新的字符串
( g: U5 Q2 }1 a: U$ g $OOO000000=urldecode（'%74%68%36%73%62%65%68%71%6c%61%34%63%6f%5f%73%61%64%66%70%6e%72'）;! R; f) T' r3 ^! n. }
//下面几行构造字符串base64_decode+ C3 W+ s; d" {! H
$OOO0000O0=$OOO000000{4}.$OOO000000{9}.$OOO000000{3}.$OOO000000{5};
4 L5 a1 |( w% i. y $OOO0000O0.=$OOO000000{2}.$OOO000000{10}.$OOO000000{13}.$OOO000000{16};3 A r9 \1 W, T+ }8 I, @* H& [
$OOO0000O0.=$OOO0000O0{3}.$OOO000000{11}.$OOO000000{12}.$OOO0000O0{7}.$OOO000000{5};
* q1 \2 B% J7 g, W3 f //下面通过base64 decode生成一段读取自身文件的代码，先读取了若干字节，丢弃了，分析可能是头部执行初步解密的PHP代码，接着又读取700字节，进行字符串变换 base64_decode之后，得到一段继续读取文件解密的代码，经分析发现，第二次读取的700 字节中包含一版权声明的代码。第三次读取文件后经过解密，得到了原始代码 。解密过程分析完毕，下面开始写破解算法，
; u4 X; A$ A/ y! N( I) s% g B function crack（$src, $dst） {
) Y3 O/ e% Q# `3 D& A $content = file_get_contents（$src）;; J: Q* B9 C6 F8 q* @! I; l
$pos = strpos（$content, '?>'）;1 }1 w a8 x1 W/ `- L/ Z N$ z
//删除读取文件的代码9 a6 l% W x7 ^- N" C# H
$code = substr（$content, $pos + 3）;
* \: ~6 Q+ J6 O" h8 W //删除解码代码
3 c+ Z) W; l7 a $code = substr（$code, 700）;( R# C8 s8 ?1 C- ]$ ?, S
//解码目标代码7 S/ [6 C: m" G U, F, E! A
$cracked = base64_decode（strtr（$code, 'EnteryouwkhRHYKNWOUTAaBbCcDdFfGgPpQqSsVvXxZz0123456789+/=', 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklvwxyz0123456789+/'））;
0 l) c% h g, V //写入目标文件7 J4 M% X& Z7 @4 }5 n v7 s/ S
file_put_contents（$dst, "<?php " . $cracked . " ?>"）;; c9 A @/ P6 n( ]" E
log_info（"解码文件：$src 至 $dst 完成"）;* ~/ M3 V: Z% |) G* o$ P0 @1 h
}$ E: z1 F, o7 A* s
使用该函数对加密的文件进行解密，打开解密的文件 ，格式化代码，原始代码完善呈现！4 j* a6 ~, Q, y; _
在线解密工具：http://www.niusoso.net/vidun-decode.php0 T! `) ]5 k A7 u! d) g
( R7 W8 ?$ e4 h- V* M4 D R1 ?0 \
. s8 T1 }$ C2 ?% w2 X
|
|
发表于 2014-7-15 17:15:34
千斤顶
显身卡
发表于 2016-11-11 11:10:34
8 ]6 _( |' U. }! X1 p- R
鲁公网安备 37021102000261号