|
|
今天碰到一个网站的源码用的是以下的加密方式，看起来很乱但又有一定的规律，找了下破解方式. }4 f2 v$ y! g2 f2 W
文件加密方式，变量混淆＋字符串加密
5 i1 p" c# P. O6 \1 F) ^+ S+ ` 文件原始内容 ：0 x: _8 f2 X0 n3 [* K4 Y% o
$OOO0O0O00=__FILE__;0 G( I' g& v5 C* |- B: W. ]
$OOO000000=urldecode（'%74%68%36%73%62%65%68%71%6c%61%34%63%6f%5f%73%61%64%66%70%6e%72'）;, O& i5 [3 {) O
$OO00O0000=164;: f, c3 }8 Q0 w$ ?6 o M
$OOO0000O0=$OOO000000{4}.$OOO000000{9}.$OOO000000{3}.$OOO000000{5};
# c( N' T: i1 A, V4 E9 p3 S) N $OOO0000O0.=$OOO000000{2}.$OOO000000{10}.$OOO000000{13}.$OOO000000{16};( X* z, L/ i, d# A
$OOO0000O0.=$OOO0000O0{3}.$OOO000000{11}.$OOO000000{12}.$OOO0000O0{7}.$OOO000000{5};$ ?4 W6 S' c* Y; Z
$O0O0000O0='OOO0000O0';
4 C7 G4 X( l2 p3 t* A# l8 s eval（（$$O0O0000O0（'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'）））;
5 a4 e8 v: T; ?5 J4 k return;?>
+ Z4 R' s4 N8 x8 \ 这是一段php代码，后面跟了一串加密过的字符串。; Z8 p; B8 |. A8 r2 H( v5 N- _% z
很显然，开头的这几行代码是执行解密的，或者是解密的前秦工作。. |2 c: y# I2 T- B
进行分析：
4 _( q' r d. p; v$ h6 f4 ]- I $OOO0O0O00=__FILE__;//本文件路径和文件名
& S0 Y% h3 @7 V& M, \3 y3 j7 e //字符串用于下面构造新的字符串
% P% l3 c# b5 G% ? $OOO000000=urldecode（'%74%68%36%73%62%65%68%71%6c%61%34%63%6f%5f%73%61%64%66%70%6e%72'）;% q. b4 Q) I7 y$ D4 j& K: H
//下面几行构造字符串base64_decode6 z \; w$ g: r2 @: B& u5 D. `
$OOO0000O0=$OOO000000{4}.$OOO000000{9}.$OOO000000{3}.$OOO000000{5};, G/ X/ n' A$ f2 e; O' g
$OOO0000O0.=$OOO000000{2}.$OOO000000{10}.$OOO000000{13}.$OOO000000{16};# H( v# {+ |$ P" t k
$OOO0000O0.=$OOO0000O0{3}.$OOO000000{11}.$OOO000000{12}.$OOO0000O0{7}.$OOO000000{5};; c9 i0 ]% h+ f q& B3 ]
//下面通过base64 decode生成一段读取自身文件的代码，先读取了若干字节，丢弃了，分析可能是头部执行初步解密的PHP代码，接着又读取700字节，进行字符串变换 base64_decode之后，得到一段继续读取文件解密的代码，经分析发现，第二次读取的700 字节中包含一版权声明的代码。第三次读取文件后经过解密，得到了原始代码 。解密过程分析完毕，下面开始写破解算法，
9 @& Q2 X2 n% e2 k function crack（$src, $dst） {
8 K8 H! ?6 W- [5 e6 ]& e $content = file_get_contents（$src）;
5 F8 {' r; u; w' v: F$ ] $pos = strpos（$content, '?>'）;8 q: W0 v" s9 J) B
//删除读取文件的代码
" v4 S2 l Y1 y, D $code = substr（$content, $pos + 3）;
2 R" x% x; \$ V9 W2 P //删除解码代码, Z7 y1 |( Q: u; d7 ?9 e
$code = substr（$code, 700）;. w V+ J5 r$ \, z* ]3 f( X# g
//解码目标代码9 |9 Y$ M2 H u# G3 f2 `. I
$cracked = base64_decode（strtr（$code, 'EnteryouwkhRHYKNWOUTAaBbCcDdFfGgPpQqSsVvXxZz0123456789+/=', 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklvwxyz0123456789+/'））;( r; ~# X: b) ]3 b0 v6 e
//写入目标文件. S# c4 Z5 Z% y; O
file_put_contents（$dst, "<?php " . $cracked . " ?>"）;
! |3 W' c/ y8 `6 n3 ~ log_info（"解码文件：$src 至 $dst 完成"）;
# G5 ~! x" s1 Y) Q' s {, l }
/ U% S6 N( ]6 d5 u1 {) u, K9 \ 使用该函数对加密的文件进行解密，打开解密的文件 ，格式化代码，原始代码完善呈现！ [% O9 W0 `- P0 F
在线解密工具：http://www.niusoso.net/vidun-decode.php" w0 o$ O' h* F# |) ^4 i3 }
* V3 ]' Y- _( r7 z4 N' r1 ]6 E" B2 d \1 l5 ^, \
|
|
发表于 2014-7-15 17:15:34
千斤顶
显身卡
发表于 2016-11-11 11:10:34
9 i8 N" ~& f- ^( \6 |& `% K
鲁公网安备 37021102000261号