實(shí)戰(zhàn)還原PHP加密文件

yibinnn 發(fā)布于2019-07-01 12:19 / 3636人閱讀

摘要：先說(shuō)環(huán)境實(shí)戰(zhàn)過(guò)程手頭上有一個(gè)加密過(guò)的項(xiàng)目和一個(gè)擴(kuò)展的動(dòng)態(tài)連接庫(kù)。根據(jù)數(shù)據(jù)更改里面的文件。主要的時(shí)間是在試探加密參數(shù)上，很幸運(yùn)的是文件也沒(méi)有加殼。在破解的過(guò)程中也了解了加密的缺陷性，所以才有了下一篇文章通用加密文件還原方法。

先說(shuō)環(huán)境：

    Ubuntu 14.04.4 LTS (GNU/Linux 3.13.0-52-generic x86_64)
    PHP 5.5.9-1ubuntu4.19 (cli)

實(shí)戰(zhàn)過(guò)程

手頭上有一個(gè)加密過(guò)的項(xiàng)目和一個(gè)php擴(kuò)展的動(dòng)態(tài)連接庫(kù)(jinhou.so)。

PHP代碼類似如下的樣子：

根據(jù)上面分析到的已知條件有：

加密方式類似 eval 的加密方式。

jhgo 包含執(zhí)行代碼跟解密代碼。

jinhou.so 里面包含 jhgo 函數(shù)。

首先非常粗暴的用 VIM 打開(kāi) jinhou.so 看看有沒(méi)有什么關(guān)鍵的信息。

很不幸，明文寫著解決方案的出處。https://github.com/eixom/zoee...

看了代碼理論上這個(gè)擴(kuò)展暴露出來(lái)有兩個(gè)方法，一個(gè)執(zhí)行加密文件的方法和一個(gè)解密文件的方法。但實(shí)際上只有一個(gè)方法暴露出來(lái)，那么還有一個(gè)被狡猾的提供者刪除了。

當(dāng)然源碼我們都有了也就不計(jì)較那么多了。

試著用官方源碼編譯下然后decode一下發(fā)現(xiàn)還是不行。

再仔細(xì)研究了一下，發(fā)現(xiàn)

里面有一串很神奇的字符串: 82dsa7dsas32112389uy7aydh8h2h2i412 心想是不是他的加密Key。再翻代碼果真是。在 https://github.com/eixom/zoeeyguard/blob/master/src/guard.h 文件里面。
原來(lái)的是 28dsa7dsas12312389uy7aydh8h1h2i312。改完之后發(fā)現(xiàn)還是不行。

果真我還是Too Young Too Simple啊。

程序員心理角度分析下：一般沒(méi)人會(huì)去改代碼，基本上都是動(dòng)動(dòng)參數(shù)而已。是不是還有其他參數(shù)改動(dòng)了？可是其他參數(shù)都是數(shù)組格式的這可頭疼了。

/*  private key */
#define PRIVATE_KEY "28dsa7dsas12312389uy7aydh8h1h2i312"
#define PRIVATE_KEY_LEN sizeof(PRIVATE_KEY)

/* order */
static const unsigned char OBFUSCATED_ORDER[] = {
      13,  6,  5,  7,  1, 15, 14, 20
    ,  9, 16, 19,  4, 18, 10,  2,  8
    , 12,  3, 11,  0, 17
};
#define ORDER_SIZE sizeof(OBFUSCATED_ORDER) / sizeof(* OBFUSCATED_ORDER)

/* alphabet for base64 */
static const unsigned char OBFUSCATED_ALPHABET[] = {
      "s", "4", "N", "E", "k", "X", "c", "u"
    , "J", "2", "U", "o", "O", "w", "K", "v"
    , "h", "H", "C", "/", "D", "q", "l", "R"
    , "B", "r", "5", "Z", "S", "Q", "6", "W"
    , "3", "L", "j", "8", "1", "z", "0", "G"
    , "n", "e", "y", "b", "I", "d", "i", "P"
    , "A", "9", "7", "+", "m", "V", "M", "Y"
    , "F", "g", "f", "p", "a", "T", "t", "x"
};
#define ALPHABET_SIZE 64

這個(gè)時(shí)候得請(qǐng)出大殺器了：IDA Pro v6.8，反編譯神器。左邊是正常版本，右邊是jinhou.so。

根據(jù)數(shù)據(jù)更改guard.h里面的文件。重新編譯下，果真成功解密出來(lái)了。

事后總結(jié)

1、這次破解沒(méi)花費(fèi)多少時(shí)間，主要感謝加密方案跟加密代碼已經(jīng)明文告訴我們。
2、主要的時(shí)間是在試探加密參數(shù)上，很幸運(yùn)的是.so文件也沒(méi)有加殼。
3、在破解的過(guò)程中也了解了PHP加密的缺陷性，所以才有了下一篇文章：通用PHP加密文件還原方法。