吾爱破解 - LCG - LSG |安卓破解|病毒分析|破解软件|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

领取今日签到奖励
查看: 6961|回复: 144
上一主题 下一主题

[调试逆向] PHP解密:EnPHP mzphp2加密 无法还原变量名的混淆加密

    [复制链接]
跳转到指定楼层
楼主
发表于 2019-3-1 20:08 回帖奖励
本帖最后由 Ganlv 于 2019-3-13 14:55 编辑

问题引出

原求助帖

EnPHP

下面两段话摘录自 EnPHP 官方网站

加密、混淆

EnPHP 支持加密混淆 PHP 代码。

EnPHP 可以对函数、参数、变量、常量以及内嵌 HTML 代码进行加密、混淆。

支持不同的加密强度、混淆方式

EnPHP 可以破.解吗?

代码,机器能解析就能还原,您使用任何一个加密工具都会有这个风险,理论上 EnPHP 被还原代码部分是可以的,但是 EnPHP 主打是的混淆+加密,打散、混淆才是 EnPHP的核心,EnPHP 是根据语法进行打散和混淆的,就算解密后,也是不可能还原变量名的!!!除非重新读一遍代码,将变量重新写上去。所以,那些所谓破解,是不可能还原语法和变量名的。如果您需要高强度的加密,可以联系管理员订制化加密。

我们的结论

我们应该是能还原代码的,但是不能还原变量名、函数名、方法名。如果想还原成原始代码是不可能了,但是如果只是想改一个注册码验证之类的,应该还是比较简单的。

分析过程

简单分析一下原理

我使用 VSCode 打开这个文件,这个文件全都是不可读字符,如果用 UTF-8 来显示的话很不友好。

使用 Ctrl + Shift + P 打开快捷指令,输入 encoding,选择用 Change File Encoding,选择 Reopen with Encoding,选择 Western (Windows 1252)。

Windows 1252 是个单字节的字节集,不会出现任何 2 个字节被显示成 1 个字符的问题,其他的单字节集通常也可以。

我们只看代码部分,不看乱码部分。

error_reporting(E_ALL ^ E_NOTICE);
define('字符串1', '字符串2');
一堆乱码1;
$GLOBALS[字符串1] = explode('字符串3', gzinflate(substr('字符串4', 0x0a, -8)));
一堆乱码2;
include $GLOBALS{字符串1}[0];
include $GLOBALS{字符串1}{0x001}(__FILE__) . $GLOBALS{字符串1}[0x0002];

解释一下我们分析出来的代码的含义

  1. 抑制错误显示
  2. 定义一个全局常量作为被加密字符串储存的名称
  3. 一个不知道什么常量,毫无意义
  4. gzinflate 就是 gzip 解压缩,把一个二进制的字节串还原成原始字符串,并用 explode 分成一堆小字符串。
  5. 一个不知道什么常量,毫无意义
  6. $GLOBALS{字符串1} 就是那一堆小字符串的储存位置,从中提取出第一个元素 $GLOBALS{字符串1}[0] 就是我们要还原的内容了。

PHP-Parser

既然是乱码,我们又得请出我们的重量级选手了 PHP-Parser

这个库的作者是 nikic,其实他是 PHP 核心开发组的人员,这个解释器真的堪称完美。

新建一个文件夹作为这个工程的文件夹

创建 Composer 文件,安装 PHP-Parser

composer init
composer require nikic/php-parser

然后新建一个 index.php 先把 AST 解析写好。

这个初始代码来自 https://github.com/nikic/php-parser#quick-start

看乱码我用 VSCode,但是写代码我还是选择 PHPStorm。


<?php
use PhpParser\Error;
use PhpParser\NodeDumper;
use PhpParser\ParserFactory;

require 'vendor/autoload.php';

$code = file_get_contents(__DIR__ . '/tests/assets/admin.php');

$parser = (new ParserFactory)->create(ParserFactory::PREFER_PHP7);

try {
    $ast = $parser->parse($code);
} catch (Error $error) {
    echo "Parse error: {$error->getMessage()}\n";
    return;
}

$dumper = new NodeDumper;
echo $dumper->dump($ast) . "\n";

找出有用的参数

我们必须从 AST 中把有用信息提取出来。

什么是有用的呢?

就是上面的字符串 1、3、4,不包括字符串 2,因为代码中根本就没用到,他只是一个临时的变量名称。还有 substr 的参数 0x0a-8

我们根据他在 AST 中的位置编写代码

$str1 = $ast[1]->expr->args[0]->value->value;
$str3 = $ast[3]->expr->expr->args[0]->value->value;
$str4 = $ast[3]->expr->expr->args[1]->value->args[0]->value->args[0]->value->value;
$int1 = $ast[3]->expr->expr->args[1]->value->args[0]->value->args[1]->value->value;
$int2 = -$ast[3]->expr->expr->args[1]->value->args[0]->value->args[2]->value->expr->value;

如何知道他的位置?

调试必须得配置好 XDebug,配置过程请自行百度。

然后就可以得到 $ast[1]->expr->args[0]->value->value 这个了。

先看看解密之后的字符串是什么样子的

在原来的代码之后添加

$string_array = explode($str3, gzinflate(substr($str4, $int1, $int2)));
print_r($string_array);

再次调试,看调试输出

Array
(
    [0] => config.php
    [1] => dirname
    [2] => /../include/class.db.php
    [3] => filter_has_var
    [4] => type
    [5] => json_encode
    [6] => success
    [7] => icon
    [8] => m
    [9] => 请勿非法调用!
    [10] => filter_input
......
    [152] => id错误,没有找到id!
    [153] => ua
    [154] => Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/63.0.3239.84 Safari/537.36
    [155] => curl
)

的确不出所料,我们要的字符串都出来了。

逐步还原

我们需要把代码中所有的 $GLOBALS{字符串1}[0],都换成原来的字符串。

我们需要用到 NodeTraverser 了,他负责遍历 AST 的每一个节点

当他发现任何一个 Node 是下面这种结构的时候

Expr_ArrayDimFetch(
    var: Expr_ArrayDimFetch(
        var: Expr_Variable(
            name: GLOBALS
        )
        dim: Expr_ConstFetch(
            name: Name(
                parts: array(
                    0: �
                )
            )
        )
    )
    dim: Scalar_LNumber(
        value: 0
    )
)

他将直接把这个 Node 替换成

Scalar_String(
    value: $string_array[0]
)
class GlobalStringNodeVisitor extends NodeVisitorAbstract
{
    protected $globalVariableName;
    protected $stringArray;

    public function __construct($globals_name, $string_array)
    {
        $this->globalVariableName = $globals_name;
        $this->stringArray = $string_array;
    }

    public function leaveNode(Node $node)
    {
        if ($node instanceof Node\Expr\ArrayDimFetch
            && $node->var instanceof Node\Expr\ArrayDimFetch
            && $node->var->var instanceof Node\Expr\Variable
            && $node->var->var->name === 'GLOBALS'
            && $node->var->dim instanceof Node\Expr\ConstFetch
            && $node->var->dim->name instanceof Node\Name
            && $node->var->dim->name->parts[0] === $this->globalVariableName
            && $node->dim instanceof Node\Scalar\LNumber
        ) {
            return new Node\Scalar\String_($this->stringArray[$node->dim->value]);
        }
        return null;
    }
}

$nodeVisitor = new GlobalStringNodeVisitor($str1, $string_array);
$traverser = new NodeTraverser();
$traverser->addVisitor($nodeVisitor);
$ast = $traverser->traverse($ast);

$prettyPrinter = new Standard;
echo $prettyPrinter->prettyPrintFile($ast);

运行结果

美化代码

我们看到 ('dirname')(__FILE__) 这种代码不太符合正常代码书写习惯,我们需要把它改成 dirname(__FILE__)

class BeautifyNodeVisitor extends NodeVisitorAbstract
{
    public function enterNode(Node $node)
    {
        if ($node instanceof Node\Expr\FuncCall
            && $node->name instanceof Node\Scalar\String_) {
            $node->name = new Node\Name($node->name->value);
        }
        return null;
    }
}

$nodeVisitor = new BeautifyNodeVisitor();
$traverser = new NodeTraverser();
$traverser->addVisitor($nodeVisitor);
$ast = $traverser->traverse($ast);

运行结果

函数内部字符串

前面全局部分的代码看上去还不错,但是后面的函数内部代码还是有些乱码

它使用一个 $局部变量1 =& $GLOBALS[字符串1] 把这个全局变量变成局部变量了,我们必须遍历所有函数,把这些字符串替换掉。

原理就是发现 $局部变量1 =& $GLOBALS[字符串1] 则把 局部变量1 保存下来,之后再发现 $局部变量1[0] 则替换成 $string_array[0]

(代码较长,此处省略)

运行结果

函数局部变量名

这里的原理就是把所有参数名统一替换成 $arg0, $arg1,所有变量名统一替换成 $v0, $v1

(代码较长,此处省略)

类的方法

由于样例文件中没有包含类的方法,所以对类方法变量名的去除乱码可能并不是很好。

去除无用常量语句

这个代码里面有一堆无用的调用常量的语句,完全不知道是干什么的,毫无意义,去掉。

(代码较长,此处省略)

自动寻找全局字符串变量

$str1 = $ast[1]->expr->args[0]->value->value;
$str3 = $ast[3]->expr->expr->args[0]->value->value;
$str4 = $ast[3]->expr->expr->args[1]->value->args[0]->value->args[0]->value->value;
$int1 = $ast[3]->expr->expr->args[1]->value->args[0]->value->args[1]->value->value;
$int2 = -$ast[3]->expr->expr->args[1]->value->args[0]->value->args[2]->value->expr->value;

这个代码用的是固定的 $ast[1], $ast[3],但是实际上他并不一定总是 13,所以我们做得适用性强一些。自动寻找

$GLOBALS[globalVarName] = explode('delimiter', gzinflate(substr('data', start, -length)))

这个句话的位置。

结果对比

总结

只有局部变量的变量名不能还原。

其他所有的标识符(函数名、类名、方法名、函数调用、常量名)、字符串、数字全部都能成功还原。

代码结构完全没有加密,只需替换被混淆的名称即可。

附件

样本

admin.rar (3.42 KB, 下载次数: 37)

自动解密脚本

接下来就是伸手党的时刻啦

下载链接 (522 KB, 下载次数: 65)

下载 dist.zip,解压,进入该文件夹,然后右键在此处打开命令行,然后执行

php bin/decode.php 待解密的文件.php 解密之后输出文件名.php

相关链接

免费评分

参与人数 65吾爱币 +63 热心值 +60 收起 理由
nx6320 + 1 + 1 我很赞同!
太浓叔叔 + 1 我很赞同!
椎名牧 + 1 + 1 用心讨论,共获提升!
crazyApple + 1 用心讨论,共获提升!
星猫 + 1 + 1 我很赞同!
a54285428 + 1 + 1 谢谢@Thanks!
dns2018 + 1 用心讨论,共获提升!
MR.PB + 1 值得去花时间学习,虽然目前看不懂
PEIAp6YCjUHK + 1 谢谢@Thanks!
whg118 + 1 + 1 用心讨论,共获提升!
88闲杂人等88 + 1 + 1 谢谢分享
RoB1n_Ho0d + 1 热心回复!
BusyCat + 1 谢谢@Thanks!
Zy143L + 1 + 1 我很赞同!
xtcms + 1 + 1 膜拜,感谢分享
yixi + 1 + 1 谢谢@Thanks!
XHExplorer + 1 + 1 我很赞同!
hackcat + 1 + 1 用心讨论,共获提升!
wddvfs + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
fgpgy + 1 + 1 太牛逼 膜拜
tanghengvip + 1 + 1 NB NB NB!!!
蓝洛水深 + 1 + 1 很棒,学习了
hotbone + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
会飞的小红牛 + 1 + 1 热心回复!
bigworm + 1 + 1 大神收下我的膝盖
lonelv + 1 + 1 谢谢@Thanks!
dNp + 1 + 1 谢谢@Thanks!
22222 + 1 + 1 我很赞同!
zephyrr + 1 + 1 谢谢@Thanks!
dingyx99 + 1 + 1 谢谢@Thanks!
jnez112358 + 1 + 1 谢谢@Thanks!
sunnylds7 + 1 + 1 热心回复!
koreancoco + 1 + 1 我很赞同!
为你一人 + 1 + 1 谢谢@Thanks!
maobaozhi + 1 + 1 学习了!
连晋 + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
lizhongbao + 1 用心讨论,共获提升!
flylg999 + 1 谢谢@Thanks!
Yoshio + 1 + 1 谢谢@Thanks!
lonely_coder + 1 + 1 佩服!!
非凡公子 + 1 + 1 谢谢@Thanks!
yyhf + 1 罕见的技术贴,比我的方法高明,我是对文件解析,还原不可见变量
junty + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
BY丶显示 + 2 + 1 谢谢@Thanks!
flyk + 1 + 1 大神,请收下我的膝盖。有空请分析下微、擎的混淆加密怎么还原
苏紫方璇 + 2 + 1 牛逼啊
antclt + 1 + 1 谢谢@Thanks!
www312244151 + 1 + 1 一个php小白看的如此起劲~
yzw1130 + 1 + 1 我很赞同!
dangducluan + 1 + 1 谢谢@Thanks!
黑的思想 + 1 + 1 用心讨论,共获提升!
longsui48 + 1 + 1 妈妈问我为什么跪着看电脑
天空藍 + 1 + 1 热心回复!
chenjingyes + 1 + 1 谢谢@Thanks!
mmji + 1 Ganlv老大出品,必属精品
康哥 + 1 + 1 谢谢@Thanks!
wmsuper + 3 + 1 谢谢@Thanks!
ebacn + 1 + 1 谢谢@Thanks!
CrazyNut + 2 + 1 不明觉厉
梦游枪手 + 2 + 1 热心回复!
Takitooru + 1 + 1 请收下我的双膝
鹿Lu. + 1 + 1 谢谢@Thanks!
vistal + 1 谢谢@Thanks!
快乐小风 + 1 + 1 我很赞同!
孟坤软件 + 2 + 1 厉害!

查看全部评分

本帖被以下淘专辑推荐:

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

来自 84#
发表于 2019-3-11 20:33
@Ganlv
楼主,很多游走在违法边缘的PHP破解者都在看你的帖子,想套出你的技术然后占为已用,不要被他们利用了。
如果我是楼主,我会好好的利用自己的知识,找一个更大的单位拿个2-5W的工资,而不是浪费自己的时间在这里发帖子赚眼球。

点评

谢谢。谢谢。  发表于 2019-3-11 20:53
推荐
发表于 2019-3-17 00:09
Ganlv 发表于 2019-3-1 22:38
这个加密并不是特别难,算上截图和编写这篇文章,编写全自动解密脚本,我总共大概用了5个小时。和 mfenc  ...

大佬  请问下面的代码语法有错误吗
编译器编译没问题 但是运行输不出数据
想知道是怎么回事
您能帮忙看看吗
#include <stdio.h>
  void main()
  {char flag;
  int a,b;
float x,e,f,o,p;
scanf("%d %d %g",&a,&b,&x);
e=a+b*x,f=a-b*x,o=a*b*x,p=a/b/x;

  x=getchar();
  if(x>=0.5 && x<1.5)
   flag='m';
  else if(x>=1.5 && x<2.5)
   flag='n';
  
  else if(x>=2.5&& x<3.5)
   flag='g';
  else if(x>=3.5&&x<4.5)
   flag='h';
  else
  flag='z';
  switch(flag)
  {  case 'm':printf("%.2f\n",e); break;
     case 'n':printf("%.2f\n",f); break;
     case 'g':printf("%.2f\n",o); break;
     case 'h':printf("%.2f\n",p); break;
     case 'z':printf("\ndata error! \n");
  }
   }
推荐
发表于 2019-3-3 10:54
Ganlv 发表于 2019-3-2 22:03
如果您有任何研究成果,可以在论坛发出来讨论。我目前对这个没有什么需求。你可以发给大家,让大家帮你想 ...

好的 谢谢大佬。我就是想把别人写的auto.js脚本解密出来然后破解掉。所以作者肯定是不会回复我的
因为感觉跟您之前解密的lua脚本挺像的。论坛上也有相关教程,但是只给出了过程,而没有讲为什么这么做。所以一直没办法下手。
沙发
发表于 2019-3-1 20:32
php 小白一枚, 献上膝盖
3#
发表于 2019-3-1 20:40
嗯,看完了~~~
4#
发表于 2019-3-1 20:50
涨知识了,不过解密这一工作量还是挺累

点评

这个加密并不是特别难,算上截图和编写这篇文章,编写全自动解密脚本,我总共大概用了5个小时。  发表于 2019-3-1 22:34
5#
发表于 2019-3-1 20:50
一直在用这个加密...不知道现在还有什么比较好的加密的
6#
发表于 2019-3-1 21:06
手动,6666. 喜欢这种技术贴
7#
发表于 2019-3-1 22:12
大神我也遇到一个  PHP的混淆加密文件  用你那个解密脚本可以嘛???

免费评分

参与人数 1吾爱币 +1 热心值 +1 收起 理由
wuaipojieliwei + 1 + 1 我很赞同!

查看全部评分

8#
发表于 2019-3-1 22:30
橘色的加亮好骚
9#
发表于 2019-3-1 22:31
伸手党:我拿走了
10#
 楼主| 发表于 2019-3-1 22:38 |楼主
511598889 发表于 2019-3-1 20:50
涨知识了,不过解密这一工作量还是挺累

这个加密并不是特别难,算上截图和编写这篇文章,编写全自动解密脚本,我总共大概用了5个小时。和 mfenc 那种东西差远了,mfenc 光分析原理就用了 4 天时间,一周才能初步解出来,一两个月才能搞出来像样的全自动反编译器。这个 enphp 大概一个小时就能恢复到能看能用的代码。
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则


免责声明:
吾爱破解所发布的一切破解补丁、注册机和注册信息及软件的解密分析文章仅限用于学习和研究目的;不得将上述内容用于商业或者非法用途,否则,一切后果请用户自负。本站信息来自网络,版权争议与本站无关。您必须在下载后的24个小时之内,从您的电脑中彻底删除上述内容。如果您喜欢该程序,请支持正版软件,购买注册,得到更好的正版服务。如有侵权请邮件与我们联系处理。

Mail To:Service@52PoJie.Cn

快速回复 收藏帖子 返回列表 搜索

RSS订阅|手机版|小黑屋|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2019-3-20 15:05

Powered by Discuz!

© 2001-2017 Comsenz Inc.

快速回复 返回顶部 返回列表