实战还原PHP加密文件

yibinnn 发布于2019-07-01 12:19 / 3457人阅读

摘要：先说环境实战过程手头上有一个加密过的项目和一个扩展的动态连接库。根据数据更改里面的文件。主要的时间是在试探加密参数上，很幸运的是文件也没有加壳。在破解的过程中也了解了加密的缺陷性，所以才有了下一篇文章通用加密文件还原方法。

先说环境：

    Ubuntu 14.04.4 LTS (GNU/Linux 3.13.0-52-generic x86_64)
    PHP 5.5.9-1ubuntu4.19 (cli)

实战过程

手头上有一个加密过的项目和一个php扩展的动态连接库(jinhou.so)。

PHP代码类似如下的样子：

根据上面分析到的已知条件有：

加密方式类似 eval 的加密方式。

jhgo 包含执行代码跟解密代码。

jinhou.so 里面包含 jhgo 函数。

首先非常粗暴的用 VIM 打开 jinhou.so 看看有没有什么关键的信息。

很不幸，明文写着解决方案的出处。https://github.com/eixom/zoee...

看了代码理论上这个扩展暴露出来有两个方法，一个执行加密文件的方法和一个解密文件的方法。但实际上只有一个方法暴露出来，那么还有一个被狡猾的提供者删除了。

当然源码我们都有了也就不计较那么多了。

试着用官方源码编译下然后decode一下发现还是不行。

再仔细研究了一下，发现

里面有一串很神奇的字符串: 82dsa7dsas32112389uy7aydh8h2h2i412 心想是不是他的加密Key。再翻代码果真是。在 https://github.com/eixom/zoeeyguard/blob/master/src/guard.h 文件里面。
原来的是 28dsa7dsas12312389uy7aydh8h1h2i312。改完之后发现还是不行。

果真我还是Too Young Too Simple啊。

程序员心理角度分析下：一般没人会去改代码，基本上都是动动参数而已。是不是还有其他参数改动了？可是其他参数都是数组格式的这可头疼了。

/*  private key */
#define PRIVATE_KEY "28dsa7dsas12312389uy7aydh8h1h2i312"
#define PRIVATE_KEY_LEN sizeof(PRIVATE_KEY)

/* order */
static const unsigned char OBFUSCATED_ORDER[] = {
      13,  6,  5,  7,  1, 15, 14, 20
    ,  9, 16, 19,  4, 18, 10,  2,  8
    , 12,  3, 11,  0, 17
};
#define ORDER_SIZE sizeof(OBFUSCATED_ORDER) / sizeof(* OBFUSCATED_ORDER)

/* alphabet for base64 */
static const unsigned char OBFUSCATED_ALPHABET[] = {
      "s", "4", "N", "E", "k", "X", "c", "u"
    , "J", "2", "U", "o", "O", "w", "K", "v"
    , "h", "H", "C", "/", "D", "q", "l", "R"
    , "B", "r", "5", "Z", "S", "Q", "6", "W"
    , "3", "L", "j", "8", "1", "z", "0", "G"
    , "n", "e", "y", "b", "I", "d", "i", "P"
    , "A", "9", "7", "+", "m", "V", "M", "Y"
    , "F", "g", "f", "p", "a", "T", "t", "x"
};
#define ALPHABET_SIZE 64

这个时候得请出大杀器了：IDA Pro v6.8，反编译神器。左边是正常版本，右边是jinhou.so。

根据数据更改guard.h里面的文件。重新编译下，果真成功解密出来了。

事后总结

1、这次破解没花费多少时间，主要感谢加密方案跟加密代码已经明文告诉我们。
2、主要的时间是在试探加密参数上，很幸运的是.so文件也没有加壳。
3、在破解的过程中也了解了PHP加密的缺陷性，所以才有了下一篇文章：通用PHP加密文件还原方法。

idc机房托管混合云 php混淆加密还原还原视频加密内容 php 加密文件破解 php文件手动加密

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/30487.html

通用加密php文件还原方法

摘要：前面一篇文章实战还原加密文件说到我发现了加密文件方式的不足，所以才有了这篇文章。加密分为两种方式执行一种是有扩展。第二种代表的有和松哥的。来个例子这次咱们拿松哥的来下手。松哥的代码写得非常漂亮，知道解密耗费时间还写了个。只是技术交流，并没有恶意，请不要滥用此技术。如果有疑问欢迎跟我交流。前面一篇文章实战还原PHP加密文件说到我发现了PHP加密文件方式的不足，所以才有了这篇文章。...

crelaber 2019-07-01 12:20 评论0 收藏0
齐博CMS HMAC+Cookie注入漏洞分析

摘要：前言首先声明这不是，具体齐博版本就不说了，后面应该有人也发现这个漏洞并且发出来了。那时候对当时的齐博系列进行完整的分析和代码审计，漏洞不少，挑几个有意思的发出来。任意长度最终密文则为由于网络传输字符关系，齐博这里对进行了一次操作。前言首先声明这不是0day，具体齐博版本就不说了，后面应该有人也发现这个漏洞并且发出来了。本文为笃行日常工作记录，文章是大概14年国庆节写的，一直未公开...

DangoSky 2019-07-01 12:24 评论0 收藏0
PHP相关

摘要：的机器学习库的机器学习库，包括算法交叉验证神经网络等内容。在即将到来的大会上，她将和大家分享在机器学习领域的全新可能。入门总结入门相关，如安装配置基本使用等。基于 Swoole 开发 PHP 扩展 Swoole-1.9.7 增加了一个新特性，可以基于 Swoole 使用 C++ 语言开发扩展模块，在扩展模块中可以注册 PHP 内置函数和类。现在可以基于 Swoole 来编写 PHP ...

lewinlee 2019-06-28 14:39 评论0 收藏0
php资料集

摘要：简单字符串缓存实战完整实战种设计模式设计模式是面向对象的最佳实践成为专业程序员路上用到的各种优秀资料神器及框架成为一名专业程序员的道路上，需要坚持练习学习与积累，技术方面既要有一定的广度，更要有自己的深度。微型新闻系统的开发（PHP 5.4 + MySQL 5.5）微型新闻系统的开发（PHP 5.4 + MySQL 5.5）九个很有用的 PHP 代码 php 代码国内值得关注的...

RobinQu 2019-06-28 14:30 评论0 收藏0
MSSQL实践-数据库备份加密

摘要：本期月报我们分享使用证书做数据库备份加密的最佳实践。加密差异备份数据库差异备份加密，备份操作前，我们插入一条数据，以供后续的测试数据校验。因为数据库备份文件已经加密。摘要在SQL Server安全系列专题月报分享中，我们已经分享了：如何使用对称密钥实现SQL Server列加密技术、使用非对称密钥实现SQL Server列加密、使用混合密钥实现SQL Server列加密技术、列加密...

CatalpaFlat 2019-06-21 16:56 评论0 收藏0