|
|
今天碰到一个网站的源码用的是以下的加密方式,看起来很乱但又有一定的规律,找了下破解方式) F R. C& B* G" [; w8 K
文件加密方式,变量混淆+字符串加密! d# U* L6 W2 l W' D A4 F% @
文件原始内容 :
1 ?" O# D$ [* Y $OOO0O0O00=__FILE__;
* [$ V- d: b6 Q' A $OOO000000=urldecode('%74%68%36%73%62%65%68%71%6c%61%34%63%6f%5f%73%61%64%66%70%6e%72');! ?5 [# T7 @2 D/ }- W
$OO00O0000=164;$ ^9 k5 w6 F& r2 b" J8 y7 d
$OOO0000O0=$OOO000000{4}.$OOO000000{9}.$OOO000000{3}.$OOO000000{5}; N5 y" V8 u$ V# [' H9 ]5 I
$OOO0000O0.=$OOO000000{2}.$OOO000000{10}.$OOO000000{13}.$OOO000000{16};" E& U# ^3 N/ i: L
$OOO0000O0.=$OOO0000O0{3}.$OOO000000{11}.$OOO000000{12}.$OOO0000O0{7}.$OOO000000{5};8 h7 l1 K! h$ Y4 m$ A
$O0O0000O0='OOO0000O0';+ A Z' h& d) @+ A
eval(($$O0O0000O0('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')));
; N2 R1 ]% e3 W2 H- j8 M6 q& `1 Q return;?>6 E' X6 Y; C4 E
这是一段php代码,后面跟了一串加密过的字符串。' w6 C' _' i. W2 p$ v3 q
很显然,开头的这几行代码是执行解密的,或者是解密的前秦工作。
( B: M6 {3 ^+ m& s3 K' j 进行分析:
9 v7 S2 |; U" I' R. D! [, D $OOO0O0O00=__FILE__;//本文件路径和文件名
- E: J H+ p. ^0 a7 w+ Y% O7 g //字符串用于下面构造新的字符串
0 O. O8 T; L4 D5 h $OOO000000=urldecode('%74%68%36%73%62%65%68%71%6c%61%34%63%6f%5f%73%61%64%66%70%6e%72');
* Q |4 H9 m2 J1 W$ P: ? //下面几行构造字符串base64_decode7 ?6 W% S2 i; n- G
$OOO0000O0=$OOO000000{4}.$OOO000000{9}.$OOO000000{3}.$OOO000000{5};
! Z; X7 G U7 i- ^ $OOO0000O0.=$OOO000000{2}.$OOO000000{10}.$OOO000000{13}.$OOO000000{16};; Z& T6 V X7 R2 J7 m
$OOO0000O0.=$OOO0000O0{3}.$OOO000000{11}.$OOO000000{12}.$OOO0000O0{7}.$OOO000000{5};7 X$ {+ f# M; Z$ G% X& E+ d* z
//下面通过base64 decode生成一段读取自身文件的代码,先读取了若干字节,丢弃了,分析可能是头部执行初步解密的PHP代码,接着又读取700字节,进行字符串变换 base64_decode之后,得到一段继续读取文件解密的代码,经分析发现,第二次读取的700 字节中包含一版权声明的代码。第三次读取文件后经过解密,得到了原始代码 。解密过程分析完毕,下面开始写破解算法,
( ] X: G0 K* A2 x& G* ]& h function crack($src, $dst) {0 o( ~6 R4 r; k, @$ s2 c
$content = file_get_contents($src);) _8 x+ D& a; w0 w2 [
$pos = strpos($content, '?>');* n! k# W# r i: _ d+ y/ D
//删除读取文件的代码
: _, e$ a% _3 A9 D; n $code = substr($content, $pos + 3);7 Y: Z/ P% @+ g( D
//删除解码代码
8 ~1 J, S) U5 N, a9 w1 V $code = substr($code, 700);
' i( J# R9 C) s, B; f, e //解码目标代码/ @4 I# n, @8 V( B! l% T/ f" w
$cracked = base64_decode(strtr($code, 'EnteryouwkhRHYKNWOUTAaBbCcDdFfGgPpQqSsVvXxZz0123456789+/=', 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklvwxyz0123456789+/')); G2 Y+ `- i$ f
//写入目标文件) ]6 ~# k' T7 |3 X
file_put_contents($dst, "<?php " . $cracked . " ?>");
3 ?. N. h7 M5 _7 g0 {3 c log_info("解码文件:$src 至 $dst 完成");
6 P5 G2 M: p! t( Y( U I1 ~ }* @4 h8 ^$ ]2 _. w$ t3 V) Q$ X
使用该函数对加密的文件进行解密,打开解密的文件 ,格式化代码,原始代码完善呈现!
& X6 Y# E" O4 o6 Y4 Y7 X在线解密工具:http://www.niusoso.net/vidun-decode.php& m! |; O! O0 C* X" k1 H
0 p- F% W5 ]) [' E& }5 @: F, q6 L
|
|