0x00 前言
洪哥给我一个加密的PHP代码,问我有没有办法搞出来,没有接触过PHP混淆加密,百度了一下加密特征,使用的是魔方二代加密方法。
从52破解上找了一个魔方二代加密反编译代码对加密的PHP代码进行解密,记录一下过程
汇编这块看不懂,直接拉到最下面,大佬给出了反编译代码
0x01 常用的加密类型及特征
加密类型 | 加密特征 |
---|---|
Zend/PHP5.3/5.4 Zend/PHP5.5/5.6 |
文件头部 <?php @Zend或Zend PHP 5.3 2004072201 65540 PHP 5.4 2004072201 65541 PHP 5.5 2004072201 65542 PHP 5.6 2004072201 65543 |
微擎加密 | 主要使用goto语法打乱代码顺序 |
魔方一代加密 | function 开头包含很多function |
魔方二代加密 | if(isset($乱码){array_push$乱码... 开头 |
ionCube | 文件头部 <?php //00xxx(16进制数字) 或 HR+c |
php-screw | 文件头部 PM9SCREW等一般是定制版本, 文件特征各不相同 |
php-beast | 文件头部 二进制数据 “\xe8\x16\xa4\x0c”一般是定制版本, 文件特征各不相同 |
ZoeeyGuard | 调用函数 zoeey_run等一般是定制版本, 文件特征各不相同 |
0x02 解密
![描述](/php-mfenc-decompiler/1.png)
对比一下加密特征,符合魔方二代加密
下载PHP mfenc反编译器代码
1 |
删除composer.lock
使用composer安装依赖的库文件
1 |
注意PHP版本 > 7.0
通过rebuild对member.php进行解密
1 |
会在当前目录下生成member.rebuilt.php文件
解密结果
![描述](/php-mfenc-decompiler/2.png)
Centos7 安装PHP 7
我的PHP版本是PHP 5.4,在使用composer安装依赖报错提示需要 PHP > 7.0
通过yum安装报错,只能通过源码编译安装,速度比较慢
可以使用remi源
https://mirrors.tuna.tsinghua.edu.cn/remi/enterprise/
安装compoeser
1 | 下载安装脚本 - composer-setup.php - 到当前目录。 |
更多请参考Composer 安装与使用