|
|
今天碰到一个网站的源码用的是以下的加密方式，看起来很乱但又有一定的规律，找了下破解方式
( d* D, Y5 ^! |' m) X6 Z文件加密方式，变量混淆＋字符串加密3 H. G( V6 B# e9 x
文件原始内容 ：8 i; y6 s0 V0 @2 m
$OOO0O0O00=__FILE__;3 v( w4 I. g3 G0 @! n$ C5 y& |
$OOO000000=urldecode（'%74%68%36%73%62%65%68%71%6c%61%34%63%6f%5f%73%61%64%66%70%6e%72'）;5 P" I+ S+ ^9 I: U
$OO00O0000=164;
5 M8 K/ S7 D& P8 p $OOO0000O0=$OOO000000{4}.$OOO000000{9}.$OOO000000{3}.$OOO000000{5};
3 _. [% A0 ^6 n" r4 S0 S( w1 c9 P5 \9 | $OOO0000O0.=$OOO000000{2}.$OOO000000{10}.$OOO000000{13}.$OOO000000{16};
7 I( }7 ~* V7 M1 d f; |. k: ^' r $OOO0000O0.=$OOO0000O0{3}.$OOO000000{11}.$OOO000000{12}.$OOO0000O0{7}.$OOO000000{5};
* u: H# U" f0 `/ F3 L $O0O0000O0='OOO0000O0';! _8 Z8 M+ z' S" e( a
eval（（$$O0O0000O0（'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'）））;" v/ F) z/ t3 e# W9 f; y& b, t0 r
return;?>
' c6 h7 f# w7 H0 A 这是一段php代码，后面跟了一串加密过的字符串。$ M( J+ `* e; n7 h- A* O1 z# B/ n
很显然，开头的这几行代码是执行解密的，或者是解密的前秦工作。9 D* z/ I2 c3 E+ g% O- D
进行分析：
4 a7 d5 ]& d2 C" [3 H $OOO0O0O00=__FILE__;//本文件路径和文件名4 Z" t7 ~3 |' q1 r: T3 U0 i
//字符串用于下面构造新的字符串6 L' _; W- P% e- t
$OOO000000=urldecode（'%74%68%36%73%62%65%68%71%6c%61%34%63%6f%5f%73%61%64%66%70%6e%72'）;
: R1 X1 `6 I4 Q4 o$ o9 @ //下面几行构造字符串base64_decode
. y' n B8 }' g+ a+ R $OOO0000O0=$OOO000000{4}.$OOO000000{9}.$OOO000000{3}.$OOO000000{5};# A- Z/ I( D+ ? V' @' z5 [. h0 p' ^" t
$OOO0000O0.=$OOO000000{2}.$OOO000000{10}.$OOO000000{13}.$OOO000000{16};4 S- q/ p2 Y1 d: {8 {7 X1 e
$OOO0000O0.=$OOO0000O0{3}.$OOO000000{11}.$OOO000000{12}.$OOO0000O0{7}.$OOO000000{5};- C+ y g* N$ J4 ^
//下面通过base64 decode生成一段读取自身文件的代码，先读取了若干字节，丢弃了，分析可能是头部执行初步解密的PHP代码，接着又读取700字节，进行字符串变换 base64_decode之后，得到一段继续读取文件解密的代码，经分析发现，第二次读取的700 字节中包含一版权声明的代码。第三次读取文件后经过解密，得到了原始代码 。解密过程分析完毕，下面开始写破解算法，( \4 m, u1 X4 J/ `- U' A
function crack（$src, $dst） {
" u3 ~( u) N+ N( ] $content = file_get_contents（$src）;+ u( k& @2 B: U) e% c7 P/ ~
$pos = strpos（$content, '?>'）;7 c% x5 K- z/ X+ ^! z4 H
//删除读取文件的代码
' I; N' y' R) _3 X3 X; H $code = substr（$content, $pos + 3）;+ b- e H$ D4 X
//删除解码代码" @" ]3 P+ S; u$ x
$code = substr（$code, 700）;0 j) @. }& d/ g" o( [' K, U3 H
//解码目标代码
8 x: |0 t" c* Z# h $cracked = base64_decode（strtr（$code, 'EnteryouwkhRHYKNWOUTAaBbCcDdFfGgPpQqSsVvXxZz0123456789+/=', 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklvwxyz0123456789+/'））;
; s$ g$ B+ t* h: K S8 _* [: U //写入目标文件
: F$ {4 Y3 w* |" \ file_put_contents（$dst, "<?php " . $cracked . " ?>"）; @0 n6 ]7 u, {
log_info（"解码文件：$src 至 $dst 完成"）;9 ?- t4 b! c! k& o7 D# J3 Q
}* \& q0 x+ U- \% U' `" m+ }4 ^
使用该函数对加密的文件进行解密，打开解密的文件 ，格式化代码，原始代码完善呈现！3 I! J$ t, @, E4 v6 H: B
在线解密工具：http://www.niusoso.net/vidun-decode.php. |$ a+ [) a2 q
7 D n# Y4 n: a5 J$ y) E6 q( i2 X' L
|
|
发表于 2014-7-15 17:15:34
千斤顶
显身卡
发表于 2016-11-11 11:10:34
鲁公网安备 37021102000261号