基于vm加密的php逆向分析

最新推荐文章于 2025-05-10 00:11:21 发布
最新推荐文章于 2025-05-10 00:11:21 发布
阅读量554 收藏 19
点赞数 7
文章标签： php 虚拟机保护
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_53109623/article/details/147791672
版权

前言

对于 php 主流的加密方式有两种：

1、基于扩展的

2、本地加密，不涉及扩展

一些在 php 端通过 zend_compile_file 等函数就可以直接 dump 出原代码的，称之为加密实在是抬举了

之前有写过一篇直接 dump 出源码的分析 https://blog.qc7.org/archives/php-decode

基于本人有限的了解，私以为 z5 和 swoole 等类似的才能称得上加密，这里的分析仅限于技术交流

代码可读

之前已经有大佬写过 z5 的逆向分析 https://www.52pojie.cn/thread-995682-1-1.html

最近拿到一份样本，从技术的角度简单了解基于 vm 加密的实现思路，由于逆向难度太大，这里的只是半成品

代码分为两大部分，前面两个函数为 vm 相关的逻辑，函数名是不可读的，后面的为业务函数实现，两个 vm 函数姑且命名为 func_a、 func_b

20250508094804

业务函数部分，函数签名以及最后面的部分代码都是可读的

20250508095024

两个 vm 相关的函数都是定义了一个 $a 变量，经过 gzinflate 解压然后 return $a，解压出来的 $a 也是加密的

业务函数的最后 eval 调用了 func_b，将其函数执行一遍，func_b 函数 gzinflate 出来的密文如下图

代码显示前面有一个 eval(gzinflate(…))，后面还有大量的 eval 调用（截图没截出来）

20250508104324

在 Ganlv 大佬的基础上，实现代码可读显示这个问题不大

调用 func_b 的时候，将第一个 eval(gzinflate(…)) 改为 print(gzinflate(…))，得到的内容为一个常量数组

return array (
  0 => '1;',
  1 => '屡爷伅谍夻',
  2 => 'fgetc',
  3 => 'PHP_VERSION_ID',
  4 => 'is_array',
  5 => 'function_exists',
  6 => 'current',
  7 => 'valid',
  8 => 'r+',
  9 => 'count',
  10 => 'fopen',
  11 => 'Z5Encrypt VM Error: Unhandled',
  12 => '$藰傰绢撥垇=array_search($幍娷柶牍聊,$瑡吐€);if($藰傰绢撥垇===false){$拐陡湌灭莫++;$瑡吐€[$拐陡湌灭莫]=$幍娷柶牍聊;$溤鋄$拐陡湌灭莫]=NULL;$藰傰绢撥垇=$拐陡湌灭莫;}return $藰傰绢撥垇;',
  13 => 'get_object_vars',
  14 => 'newInstance',
  15 => 'parent::',
  16 => 'is_string',
  17 => 'array_keys',
  18 => 'n*',
  19 => 'php://filter/read=zlib.inflate/resource=php://memory',
  20 => ' if($柪0]==0)return substr($柪?1);$膊=intval($柪0]);$宕∩哼膨?substr($柪?0,$膊+1);$胤热劓煢麠=substr($柪?$膊+1);$溆侚娆儫潄气=openssl_decrypt($胤热劓煢麠,"AES-128-ECB",$宕∩哼膨?1);return $溆侚娆儫潄气;',
  21 => 'call_user_func_array',
  22 => 'fread',
  23 => 'ob_start',
  24 => 'substr',
  25 => 'constant',
  26 => 'fclose',
  27 => 'c/N*',
  28 => 'microtime',
  29 => 'fputs',
  30 => 'strlen',
  31 => 'is_numeric',
  32 => 'ord',
  33 => '#opcodeString',
  34 => 'getIterator',
  35 => 'next',
  36 => 'hasMethod',
  37 => 'is_object',
  38 => 'defined',
  39 => 'newInstanceArgs',
  40 => '__construct',
  41 => 'key',
  42 => 'hi debugger~',
  43 => 'unpack',
  44 => 'rewind',
  45 => 'Nk/na/Nz',
  46 => 'str_replace',
);

将展开后的常量数组以及后半部分代码，更新回业务函数中，使用 php-parser 格式化后显示如下

20250508105847

之后需要解决代码可读的问题，在 php-parser 基础上进行变量重命名，替换为 $var__ 开始的变量名

20250508110315

变量 $var__7 中就是前面的一个常量数组，基于 $var__7 替换掉函数中部分其他的 $var__ 变量后显示如下

20250508110745

到这里大部分代码已经可读，$var__3 猜测应该是业务函数主体，另外 $var__7 中还有部分代码不可读，不过影响不大

代码展开后，虚拟机的部分代码显示如下

        $var__31 = ('count')($var__11);
        $var__27 = $var__16;
        $var__32 = eval($var__25);
        $var__32 = eval("return {$var__32};");
        unset($var__13);
        $var__33 = $var__31 * 3;
        while ($var__15 < $var__31) {
            $var__34 = $var__11[$var__15];
            if (!$var__34) {
                throw new Exception('Z5Encrypt VM Error: Unhandled');
            }
            $var__35 = $var__34['s'];
            $var__36 = $var__34['z'];
            $var__15 = $var__34['a'];
            switch ($var__36) {
                case 0x1f13:
                    $var__26[$var__35[1][1]] = null;
                    break;
                case 0xdb7:
                    $var__15 = (bool) ($var__35[1] === "" ? "" : ($var__35[1][0] === "\x00" ? isset($var__26[$var__35[1][1]]) ? $var__26[$var__35[1][1]] : null : (($var__19 = $var__35[1][0]) && $var__19 === "\x04" || $var__19 === "\x05" ? ($var__27 = $var__35[1][1]) && ($var__27 = eval($var__25)) || 1 ? $var__19 === "\x04" ? $var__27 : eval("return {$var__27};") : "" : ($var__19 === "\x01" ? $var__35[1][1] : NULL)))) ? ($var__35[2] === "" ? "" : ($var__35[2][0] === "\x00" ? isset($var__26[$var__35[2][1]]) ? $var__26[$var__35[2][1]] : null : (($var__19 = $var__35[2][0]) && $var__19 === "\x04" || $var__19 === "\x05" ? ($var__27 = $var__35[2][1]) && ($var__27 = eval($var__25)) || 1 ? $var__19 === "\x04" ? $var__27 : eval("return {$var__27};") : "" : ($var__19 === "\x01" ? $var__35[2][1] : NULL)))) - 1 : $var__15;
                    break;
                case 0x19d4:
                    $var__15 = (bool) ($var__35[1] === "" ? "" : ($var__35[1][0] === "\x00" ? isset($var__26[$var__35[1][1]]) ? $var__26[$var__35[1][1]] : null : (($var__19 = $var__35[1][0]) && $var__19 === "\x04" || $var__19 === "\x05" ? ($var__27 = $var__35[1][1]) && ($var__27 = eval($var__25)) || 1 ? $var__19 === "\x04" ? $var__27 : eval("return {$var__27};") : "" : ($var__19 === "\x01" ? $var__35[1][1] : NULL)))) ? $var__15 : ($var__35[2] === "" ? "" : ($var__35[2][0] === "\x00" ? isset($var__26[$var__35[2][1]]) ? $var__26[$var__35[2][1]] : null : (($var__19 = $var__35[2][0]) && $var__19 === "\x04" || $var__19 === "\x05" ? ($var__27 = $var__35[2][1]) && ($var__27 = eval($var__25)) || 1 ? $var__19 === "\x04" ? $var__27 : eval("return {$var__27};") : "" : ($var__19 === "\x01" ? $var__35[2][1] : NULL)))) - 1;
                    break;
                case 0x1461:
                    eval($var__35[1] === "" ? "" : ($var__35[1][0] === "\x00" ? isset($var__26[$var__35[1][1]]) ? $var__26[$var__35[1][1]] : null : (($var__19 = $var__35[1][0]) && $var__19 === "\x04" || $var__19 === "\x05" ? ($var__27 = $var__35[1][1]) && ($var__27 = eval($var__25)) || 1 ? $var__19 === "\x04" ? $var__27 : eval("return {$var__27};") : "" : ($var__19 === "\x01" ? $var__35[1][1] : NULL))));
                    break;
                case 0x411:
                    $var__26[$var__35[2][1]] = $var__35[1] === "" ? "" : ($var__35[1][0] === "\x00" ? isset($var__26[$var__35[1][1]]) ? $var__26[$var__35[1][1]] : null : (($var__19 = $var__35[1][0]) && $var__19 === "\x04" || $var__19 === "\x05" ? ($var__27 = $var__35[1][1]) && ($var__27 = eval($var__25)) || 1 ? $var__19 === "\x04" ? $var__27 : eval("return {$var__27};") : "" : ($var__19 === "\x01" ? $var__35[1][1] : NULL)));
                    break;
                case 0xbd0:
                    $var__37 = $var__26[$var__35[1][1]];
                    $var__15 = ($var__37 ? $var__26[$var__35[2][1]] : $var__26[$var__35[3][1]]) - 1;
                    break;
                case 0x18b2:
                    $var__26[$var__35[1][1]] = $var__5[1];
                    break;

这里大量的分支都是相同代码，基于 Ganlv 的基础上进行 get_value 收缩掉这部分代码

$var__35[3] === "" ? "" : ($var__35[3][0] === "\x00" ? isset($var__26[$var__35[3][1]]) ? $var__26[$var__35[3][1]] : null : (($var__19 = $var__35[3][0]) && $var__19 === "\x04" || $var__19 === "\x05" ? ($var__27 = $var__35[3][1]) && ($var__27 = eval($var__25)) || 1 ? $var__19 === "\x04" ? $var__27 : eval("return {$var__27};") : "" : ($var__19 === "\x01" ? $var__35[3][1] : NULL)))

收缩代码 get_value 函数如下，这里的 varMap.php 文件是在使用 php-parser 进行重命名时 dump 出来的，将原变量名映射到 $var__ 变量

function get_value($key)
{
    static $varMap = [];
    if (empty($varMap)) {
        $varMap = include 'varMap.php';
    }
    $value = _get_value($key);
    if (is_string($value)) {
        if (array_key_exists($value, $varMap)) {
            $value = $varMap[$value];
        }
    }
    // echo $value;
    return $value;
}

function _get_value($key) {
    global $var__19, $var__25, $var__26, $var__27, $var__35;
    if ($key === "") {
        return "";
    } else {
        if ($key[0] === "\x00") {
            if (isset($var__26[$key[1]])) {
                return $var__26[$key[1]];
            } else {
                return null;
            }
        } else {
            $var__19 = $key[0];
            if (($var__19 && $var__19 === "\x04") || $var__19 === "\x05") {
                $var__27 = $key[1];
                if (($var__27 && ($var__27 = eval($var__25))) || 1) {
                    if ($var__19 === "\x04") {
                        return $var__27;
                    } else {
                        return eval("return {$var__27};");
                    }
                } else {
                    return "";
                }
            } else {
                if ($var__19 === "\x01") {
                    return $key[1];
                } else {
                    return null;
                }
            }
        }
    }
}

收缩后的部分代码显示如下

20250508112906

$var__7 中有一个 openssl_decrypt 的代码段，使用时提取到 $var__25 变量

该代码段有几个临时变量名为乱码，手工修改可读显示如下

20250508114844

至此 vm 代码已经全部可读，代码展开后的完整显示如下，其中 get_value 就是前面的定义，$var__3 为密文由于太长这里删掉了

下来分析 vm 的整体逻辑

function user_function($var__1 = false, $var__2 = 'danger')
{
    global $var__19, $var__25, $var__26, $var__27, $var__35, $callfunc;
    $var__3 = '......';
    true;
    $var__4 = func_get_args();
    $var__5 = array(&$var__3, __FILE__, __FUNCTION__, __CLASS__, version_compare(PHP_VERSION, '5.3') === -1 ? '' : __NAMESPACE__);
    $var__6 = $var__5[0];
    true;
    $var__7 = array(0 => '1;', 1 => 'ÂĹŇŻŻľý‰ţ', 2 => 'fgetc', 3 => 'PHP_VERSION_ID', 4 => 'is_array', 5 => 'function_exists', 6 => 'current', 7 => 'valid', 8 => 'r+', 9 => 'count', 10 => 'fopen', 11 => 'Z5Encrypt VM Error: Unhandled', 12 => '$var__17=array_search($var__8,$var__32);if($var__17===false){$var__33++;$var__32[$var__33]=$var__8;$var__26[$var__33]=NULL;$var__17=$var__33;}return $var__17;', 13 => 'get_object_vars', 14 => 'newInstance', 15 => 'parent::', 16 => 'is_string', 17 => 'array_keys', 18 => 'n*', 19 => 'php://filter/read=zlib.inflate/resource=php://memory', 20 => ' if($var__27[0]==0)return substr($var__27,1);$ŞĄĄ ˛˛=intval($var__27[0]);$ĺ´ĄÉşßĹňŁ=substr($var__27,0,$ŞĄĄ ˛˛+1);$ءČČŘćŸŚű—=substr($var__27,$ŞĄĄ ˛˛+1);$äӁůćŹƒŸĆř=openssl_decrypt($ءČČŘćŸŚű—,"AES-128-ECB",$ĺ´ĄÉşßĹňŁ,1);return $äӁůćŹƒŸĆř;', 21 => 'call_user_func_array', 22 => 'fread', 23 => 'ob_start', 24 => 'substr', 25 => 'constant', 26 => 'fclose', 27 => 'c/N*', 28 => 'microtime', 29 => 'fputs', 30 => 'strlen', 31 => 'is_numeric', 32 => 'ord', 33 => '#opcodeString', 34 => 'getIterator', 35 => 'next', 36 => 'hasMethod', 37 => 'is_object', 38 => 'defined', 39 => 'newInstanceArgs', 40 => '__construct', 41 => 'key', 42 => 'hi debugger~', 43 => 'unpack', 44 => 'rewind', 45 => 'Nk/na/Nz', 46 => 'str_replace');
    $var__8 = '';
    $var__9 = '$var__17=array_search($var__8,$var__32);if($var__17===false){$var__33++;$var__32[$var__33]=$var__8;$var__26[$var__33]=NULL;$var__17=$var__33;}return $var__17;';
    $var__10 = true;
    while ($var__10) {
        $var__10 = false;
        $var__11 = array();
        $var__12 = ('fopen')('php://filter/read=zlib.inflate/resource=php://memory', 'r+');
        ('fputs')($var__12, $var__6);
        ('rewind')($var__12);
        $var__13 = ('unpack')('n*', ('fread')($var__12, 4));
        $var__14 = ('microtime')(true) * 1000;
        $var__15 = $var__13[2];
        ('fgetc')($var__12);
        $var__16 = ('fread')($var__12, $var__13[1] - 1);
        $var__17 = 0;
        eval('1;');
        unset($var__13);
        $var__18 = ('microtime')(true) * 1000;
        if ($var__18 - $var__14 > 1000) {
            exit('hi debugger~');
        }
        while (true) {
            $var__19 = ('fread')($var__12, 10);
            if ($var__19 === '') {
                break;
            }
            $var__20 = ('unpack')('Nk/na/Nz', $var__19);
            $var__21 = $var__20['k'];
            unset($var__20['k']);
            $var__22 = array('');
            $var__17 = 6;
            while ($var__17 < $var__21) {
                $var__23 = ('unpack')("N", ('fread')($var__12, 4));
                $var__24 = $var__23[1] > 0 ? ('fread')($var__12, $var__23[1]) : '';
                if ($var__24 !== '') {
                    if ($var__24[0] === "\v") {
                        $var__24 = ('unpack')('c/N*', $var__24);
                        $var__24 = ('substr')(func_a(), $var__24[1], $var__24[2]);
                    }
                    if ($var__24[0] === "\x03") {
                        $var__24 = array("\x01", (int) ('substr')($var__24, 1));
                    } elseif ($var__24[0] === "\x06") {
                        $var__24 = array("\x01", true);
                    } elseif ($var__24[0] === "\x07") {
                        $var__24 = array("\x01", false);
                    } elseif ($var__24[0] === "\x08") {
                        $var__24 = array("\x01", (double) ('substr')($var__24, 1));
                    } elseif (('ord')($var__24) <= 12) {
                        $var__24 = array($var__24[0], ('substr')($var__24, 1));
                    } elseif (('is_numeric')($var__24)) {
                        $var__24 = array("\x00", (int) $var__24);
                    } else {
                        $var__24 = array("\x00", $var__24);
                    }
                }
                $var__17 += $var__23[1] + 4;
                $var__22[] = $var__24;
            }
            unset($var__13);
            $var__20['s'] = $var__22;
            $var__11[] = $var__20;
            unset($var__21);
        }
        ('fclose')($var__12);
        $var__25 = ' if($var__27[0]==0)
            return substr($var__27,1);
        $n1=intval($var__27[0]);
        $s1=substr($var__27,0,$n1+1);
        $s2=substr($var__27,$n1+1);
        $r1=openssl_decrypt($s2,"AES-128-ECB",$s1,1);
        return $r1;';
        $var__26 = array();
        $var__27 = '';
        $var__28 = null;
        $var__19 = null;
        $var__29 = false;
        $var__30 = null;
        $var__31 = ('count')($var__11);
        $var__27 = $var__16;
        $var__32 = eval($var__25);
        $var__32 = eval("return {$var__32};");
        unset($var__13);
        $var__33 = $var__31 * 3;
        while ($var__15 < $var__31) {
            $var__34 = $var__11[$var__15];
            if (!$var__34) {
                throw new Exception('Z5Encrypt VM Error: Unhandled');
            }
            $var__35 = $var__34['s'];
            $var__36 = $var__34['z'];
            $var__15 = $var__34['a'];
            switch ($var__36) {
                case 0x1f13:
                    $var__26[$var__35[1][1]] = null;
                    break;
                case 0xdb7:
                    $var__15 = (bool) get_value($var__35[1]) ? get_value($var__35[2]) - 1 : $var__15;
                    break;
                case 0x19d4:
                    $var__15 = (bool) get_value($var__35[1]) ? $var__15 : get_value($var__35[2]) - 1;
                    break;
                case 0x1461:
                    $dynamic = get_value($var__35[1]);
                    eval($dynamic);
                    break;
                case 0x411:
                    $var__26[$var__35[2][1]] = get_value($var__35[1]);
                    break;
                case 0xbd0:
                    $var__37 = $var__26[$var__35[1][1]];
                    $var__15 = ($var__37 ? $var__26[$var__35[2][1]] : $var__26[$var__35[3][1]]) - 1;
                    break;
                case 0x18b2:
                    $var__26[$var__35[1][1]] = $var__5[1];
                    break;
                case 0x1583:
                    $var__26[$var__35[1][1]] = (bool) get_value($var__35[2]);
                    break;
                case 0x9ea:
                    $var__26[$var__35[1][1]] = array();
                    break;
                case 0x107a:
                    $var__26[$var__35[1][1]] = get_value($var__35[2]) !== get_value($var__35[3]);
                    break;
                case 0x4ba:
                    if ($var__35[2] !== '') {
                        $var__26[$var__35[3][1]][get_value($var__35[2])] = get_value($var__35[1]);
                    } else {
                        $var__26[$var__35[3][1]][] = get_value($var__35[1]);
                    }
                    break;
                case 0x1977:
                    break;
                case 0xc9d:
                    $var__26[$var__35[1][1]] = get_value($var__35[1]) - get_value($var__35[2]);
                    break;
                case 0x176b:
                    $var__26[$var__35[1][1]] = array();
                    if ($var__35[3] !== '') {
                        $var__26[$var__35[1][1]][get_value($var__35[3])] = get_value($var__35[2]);
                    } else {
                        $var__26[$var__35[1][1]][] = get_value($var__35[2]);
                    }
                    break;
                case 0x7ea:
                    $var__37 = get_value($var__35[2]);
                    if ($var__29) {
                        $var__38 = @('call_user_func_array')($var__37, $var__26[$var__35[1][1]]);
                    } else {
                        $var__38 = ('call_user_func_array')($var__37, $var__26[$var__35[1][1]]);
                    }
                    if ($var__35[3] !== '') {
                        $var__26[$var__35[3][1]] = $var__38;
                    }
                    break;
                case 0x154e:
                    $var__26[$var__35[1][1]] = $var__5[2];
                    break;
                case 0x1bf2:
                    $var__26[$var__35[1][1]] = !get_value($var__35[2]);
                    break;
                case 0x4e5:
                    $var__37 = get_value($var__35[3]);
                    if (('defined')($var__37)) {
                        $var__26[$var__35[1][1]] = ('constant')($var__37);
                    } elseif (('defined')('PHP_VERSION_ID') && PHP_VERSION_ID >= 50300) {
                        $var__13 = ('str_replace')($var__5[4], '', $var__37);
                        $var__26[$var__35[1][1]] = ('defined')($var__13) ? ('constant')($var__13) : $var__37;
                    } else {
                        $var__26[$var__35[1][1]] = $var__37;
                    }
                    break;
                case 0x9c8:
                    if ($var__35[3] === "") {
                        $var__28 = $var__39;
                    } else {
                        $var__28 = get_value($var__35[3]);
                    }
                    $var__26[$var__35[1][1]] = array();
                    $var__26[$var__35[2][1]] = array($var__28, get_value($var__35[4]));
                    break;
                case 0x1899:
                    $var__28 =& $var__26[$var__35[1][1]];
                    if ($var__35[2] === '') {
                        $var__37 = ('is_string')($var__28) ? ('strlen')($var__28) : (('is_array')($var__28) ? ('count')($var__28) : ($var__28 instanceof ArrayAccess ? null : 0));
                    } else {
                        $var__37 = get_value($var__35[2]);
                    }
                    $var__28[$var__37] = get_value($var__35[3]);
                    unset($var__28);
                    break;
                case 0x11c3:
                    $var__37 = get_value($var__35[4]);
                    if (get_value($var__35[3])) {
                        if ($var__37 === '') {
                            $var__37 = $var__5[3];
                        }
                        $var__40 = new ReflectionClass($var__37);
                        if ($var__40->{'hasMethod'}('__construct')) {
                            if ($var__29) {
                                $var__41 = @$var__40->{'newInstanceArgs'}($var__26[$var__35[2][1]]);
                            } else {
                                $var__41 = $var__40->{'newInstanceArgs'}($var__26[$var__35[2][1]]);
                            }
                        } else if ($var__29) {
                            $var__41 = @$var__40->{'newInstance'}();
                        } else {
                            $var__41 = $var__40->{'newInstance'}();
                        }
                        $var__26[$var__35[1][1]] = $var__41;
                    } else {
                        if ($var__29) {
                            $var__38 = @('call_user_func_array')($var__37, $var__26[$var__35[2][1]]);
                        } else {
                            $var__38 = ('call_user_func_array')($var__37, $var__26[$var__35[2][1]]);
                        }
                        if ($var__35[1] !== '') {
                            $var__26[$var__35[1][1]] = $var__38;
                        }
                    }
                    break;
                case 0x7d7:
                    $var__26[$var__35[1][1]] = $var__5[3];
                    break;
                case 0x478:
                    $var__37 = $var__26[$var__35[1][1]];
                    switch (('count')($var__37)) {
                        case 0:
                            $var__38 = ('ob_start')();
                            break;
                        case 1:
                            $var__38 = ('ob_start')($var__37[0]);
                            break;
                        case 2:
                            $var__38 = ('ob_start')($var__37[0], $var__37[1]);
                            break;
                    }
                    if ($var__35[2] !== '') {
                        $var__26[$var__35[2][1]] = $var__38;
                    }
                    break;
                case 0x14da:
                    $var__26[$var__35[1][1]] = get_value($var__35[2]) < get_value($var__35[3]);
                    break;
                case 0x6b0:
                    $var__28 =& $var__26[$var__35[2][1]];
                    $var__26[$var__35[1][1]] = ('count')($var__28);
                    unset($var__28);
                    break;
                case 0x1975:
                    break;
                case 0x11a9:
                    $var__26[$var__35[1][1]][] =& $var__26[$var__35[2][1]];
                    break;
                case 0xa8e:
                    exit(get_value($var__35[1]));
                    break;
                case 0x1c92:
                    $var__38 = ('function_exists')($var__26[$var__35[1][1]][0]);
                    if ($var__35[2] !== '') {
                        $var__26[$var__35[2][1]] = $var__38;
                    }
                    break;
                case 0x1f6f:
                    $var__26[$var__35[1][1]] = array();
                    break;
                case 0xc4b:
                    $var__26[$var__35[1][1]] = get_value($var__35[2]) === get_value($var__35[3]);
                    break;
                case 0x1bab:
                    $var__37 = get_value($var__35[2]);
                    $var__26[$var__35[1][1]] =& ${$var__37};
                    break;
                case 0x1cbb:
                    $var__37 = get_value($var__35[2]);
                    if (${$var__37} === null) {
                        $var__26[$var__35[1][1]] = get_value($var__35[3]);
                    } else {
                        $var__26[$var__35[1][1]] =& ${$var__37};
                    }
                    break;
                case 0xbb6:
                    $var__37 = get_value($var__35[4]);
                    if ($var__37 === '') {
                        $var__37 = '__construct';
                    }
                    if ($var__35[3] === "") {
                        $var__28 = $var__39;
                        $var__37 = 'parent::' . $var__37;
                    } else {
                        $var__28 = get_value($var__35[3]);
                    }
                    $var__26[$var__35[1][1]] = array();
                    $var__26[$var__35[2][1]] = array($var__28, $var__37);
                    break;
                case 0x9d2:
                    $var__37 = get_value($var__35[3]);
                    $var__26[$var__35[1][1]] = $var__37(get_value($var__35[2]));
                    break;
                case 0x10c9:
                    $var__26[$var__35[1][1]] = !(bool) get_value($var__35[2]);
                    break;
                case 0xc0b:
                    $var__26[$var__35[1][1]] = get_value($var__35[2]) . get_value($var__35[3]);
                    break;
                case 0x16da:
                    echo get_value($var__35[1]);
                    break;
                case 0x1cf3:
                    $var__26[$var__35[1][1]] = 'ńüă­űÉňኔ';
                    break;
                case 0x757:
                    $var__37 = get_value($var__35[2]);
                    while ($var__37 instanceof IteratorAggregate) {
                        $var__37 = $var__37->{'getIterator'}();
                    }
                    if ($var__37 instanceof Iterator) {
                        $var__26[$var__35[1][1]] = array($var__37, null, null, 0, $var__35[3], 'i');
                    } elseif (('is_object')($var__37)) {
                        $var__26[$var__35[1][1]] = array($var__37, null, null, 0, $var__35[3], 'o');
                    } else {
                        $var__26[$var__35[1][1]] = array($var__37, ('array_keys')($var__37), null, 0, $var__35[3], 'a');
                    }
                    break;
                case 0x1e6f:
                    $var__13 = get_value($var__35[1]);
                    $var__28 =& $var__26[$var__35[2][1]];
                    if ($var__28[5] === 'i') {
                        if ($var__28[3] === 0) {
                            $var__28[0]->{'rewind'}();
                        } else {
                            $var__28[0]->{'next'}();
                        }
                        $var__28[3]++;
                        if (!$var__28[0]->{'valid'}()) {
                            $var__15 = get_value($var__28[4]) - 1;
                        } else {
                            $var__26[$var__35[3][1]] = $var__28[0]->{'current'}();
                            if ($var__13) {
                                $var__26[$var__35[4][1]] = $var__28[0]->{'key'}();
                            }
                        }
                    } else {
                        if ($var__28[5] === 'o') {
                            $var__37 = ('get_object_vars')($var__28[0]);
                            $var__42 = ('array_keys')($var__37);
                        } else {
                            $var__37 =& $var__28[0];
                            $var__42 =& $var__28[1];
                        }
                        if ($var__28[3] >= ('count')($var__37)) {
                            $var__15 = get_value($var__28[4]) - 1;
                        } else {
                            if ($var__13) {
                                $var__26[$var__35[4][1]] = $var__42[$var__28[3]];
                            }
                            $var__26[$var__35[3][1]] = $var__37[$var__42[$var__28[3]]];
                            $var__28[3]++;
                        }
                        unset($var__37);
                        unset($var__42);
                    }
                    unset($var__28);
                    break;
                case 0x56f:
                    $var__26[$var__35[1][1]] = get_value($var__35[2]) - get_value($var__35[3]);
                    break;
                case 0x1815:
                    break;
            }
        }
        foreach ($var__26 as $var__43 => &$var__44) {
            unset($var__26[$var__43]);
        }
        unset($var__11);
        unset($var__26);
        unset($var__44);
        unset($var__37);
        unset($var__28);
    }
    return $var__30;
    $var__45;
    return NULL;
    $var__45;
}

代码分析

经过前面处理，代码已经全部可读，可以在此基础上进行任意修改代码进行调试，不过需要注意 eval 调用

在没确认安全前，直接进行 eval 调用是非常危险的，一些产品会在反逆向的时插入暗装，严重的可能会直接进行硬盘格式化

单步调试是一个漫长的过程，涉及到异常的情况，需要手工修改代码逻辑再次调试，整体还是比较麻烦的

这里就不展示过程了，整体逻辑和 Ganlv 大佬的分析差别不大，vm 部分暂不涉及，不过就目前的分析来看

1、最前面有一个 microtime 的检查，可以注释忽略掉

2、初始指令流会从 $var__3 中 unpack 出来

3、unpack 指令流后，通过 $var__25 中的 openssl_decrypt 进行解密，密文组成为：key长度 + key + 待解密数据

4、虚拟机的 vm 流分两轮，第一轮校验并解密业务流，第二轮执行业务流

5、待解密的业务流在 func_a 的 $a 数据中，前面这一行已经截取出来 $var__24 = ('substr')(func_a(), $var__24[1], $var__24[2]);

6、这段业务流的解密，在分支中的 call_user_func_array 中进行处理，通过 openssl_decrypt 进行解密

7、这里的 openssl_decrypt 和前面 $var__25 的不同，前面是 ECB 解密，这里是 CBC 解密

8、openssl_decrypt 的 CBC 解密除了需要 key 外，额外还需要一个 IV

9、第一轮 vm 迭代的时候，通过 ReflectFunction 反射，然后 getStartLine、getEndLine 起始行拿到 func_b 函数文本

10、将 func_b 函数文本通过 hash_hmac 计算哈希值，然后进行 str_rot13 处理拿到解密的 key

11、每一个加密文件的 func_b 都是不同的，因此没有通用的 key，但是同一个文件不同函数的 key 是相同的

12、再次通过 ReflectFunction 反射，然后 getStartLine、getEndLine 起始行拿到 user_function 函数文本

13、截取 user_function 的 从 ;true; 到函数结束 ;$_SERVER;} 的代码文本，计算 md5 值，这个就是 IV

14、在 user_function 函数计算 md5 的这部分代码中，使用的一些变量，在不同文件的不同函数内都是不同的，因此没有通用的 IV

15、在得到 key 和 IV 后，通过 call_user_func_array 调用 openssl_decrypt 解密业务流

16、解密业务流后，进入第二轮 vm 迭代，流程转到业务代码执行，当然业务代码依然还是加密的，以及经 vm 处理的

17、这里可以看出，如果代码文件被改动，就会导致 key 和 IV 都计算错误，业务流解密必然失败

18、vm 普遍存在运行速度拖慢的问题，几行的业务函数，膨胀到近 400 条业务指令，这还不涉及前面校验这些，实在有点夸张

19、从安全角度来看，z5还是非常难逆向的，速度慢的问题需要使用人员衡量

七哥技术
关注
猿人学App逆向 第二题 so层加密
qq_38759383的博客
06-05 1121
安卓逆向，so层加密 具体so层实操参考：https://blog.csdn.net/tjcwt2011/article/details/122079661 4.然后按F5，就可以将汇编代码转换为C代码 为什么下面的sign函数有三个传参？ 很多同学就有疑惑，java层sign函数有一个传参，为什么这边有三个传参，以第三个参数为标准传参，前面两个有可能是JNIEnv、j......
恶意软件分析大合集
Sumarua的博客
05-09 42
这个列表记录着那些令人称赞的恶意软件分析工具和资源。受到 awesome-python 和 awesome-php 的启迪。
php逆向ea8.0,DDCTF2019两个逆向writeup
weixin_29956897的博客
03-25 576
原创：合天智汇01Confused首先参考链接 https://www.52pojie.cn/forum.php?mod=viewthread&tid=860237&page=1首先分析到这个sub_1000011D0是关键函数是没有什么问题的，直接shift+f12定位DDCTF的字符串就到了这一部分逻辑if ( (unsigned int)sub_1000011D0(*((__...
路由器逆向分析------MIPS系统网络的配置(QEMU)
Fly20141201. 的专栏
04-06 8027
本文博客地址：http://blog.csdn.net/qq1084283172/article/details/69378333 MIPS系统网络的配置  使用QEMU 模拟正在运行的MIPS系统并配置MIPS系统网络，这样本地主机ubuntu系统就可以和QEMU虚拟机进行网络通讯和传输数据了。在进行MIPS程序的测试时是很有用处。 01.获取安装依赖文件，执行下面的命
php opcodes 还原代码,【资料】用Oreans UnVirtualizer还原VM代码
weixin_31674039的博客
03-11 301
本帖最后由 [VIP]_年华╮似 于 2016-6-12 16:56 编辑VM一直很头痛，在逆向实践一般尽量想办法避开它，当黑盒来处理。有时候不面对她又不行，正好在论坛上看了Oreans UnVirtualizer插件，拿来实践学习下。新手可以了解下恢复VM代码的过程，高手可以帮助纠正错误并指导深入相关工具可在网上找到：Oreans UnVirtualizer VM恢复插件Code Virtu...
PHP复习资料
okfang616的博客
05-23 4031
（未完待续，请持续关注此板块）【计科一二】PHP第一章练习题【计科一二】PHP第二章练习题【计科一二】PHP第三章练习题【计科一二】PHP第四章练习题【计科一二】PHP第五章练习题 暂无【计科一二】PHP第六章练习题 暂无【计科一二】PHP第七章练习题 暂无以下资料由本人结合每章练习题 逆向整理而成，不是官方资料。
【Cookie加密】acw_sc__v2参数逆向
liangzaixiaozhou的博客
09-06 1533
A厂系cookie加密js逆向
VM(虚拟机技术）保护
w4y2'blog
04-28 2314
1.VM技术介绍 我发现论坛上每当谈到虚拟机技术时，鲜有几人参与讨论，因为虚拟机技术还没有普及到大家的心中。VM 其实就是Virtual Machine（虚拟机）的缩写，这里说的VM并不是像VMWare那样的虚拟机，而是将一系列的指令解释成bytecode(字节码)放在一个解释引擎中执行。 2.目前现状的VM应用 VM技术最早的应用我想应该是VB(PCode)吧（瞎猜的），时至今日才
goto 解密 ioncube解密 php解密服务php解密 sg11解密 zend解密 goto解密 php混淆解密 ioncube解密 php加密修复 各类
qq_35738963的博客
06-10 751
说明：逆向服务仅可用于学习研究之用途；goto 解密 ioncube解密 php解密服务php解密 sg11解密 zend解密 goto解密 php混淆解密 ioncube解密 php加密修复 各类 解决 查看教程
jiemi.rar_php解密
09-14
首先，PHP代码加密的主要目的是保护源代码的知识产权，防止未经许可的复制、修改或逆向工程。这在商业软件和付费插件中尤为重要，因为源代码可能包含敏感的业务逻辑和算法。描述中提到的“超强的页面加密解密代码”...
Shopee算法分析 - x-sap-ri
Qiled的博客
12-15 2639
shopee的环境补起来相对容易, 唯一的难点在于 “异常的处理”, 当然, 这只是对于我来说的难点. 对于各位大佬来说, 这种应该是信手拈来的东西.接下来, 继续复现如画大佬的算法分析文章.
爬虫逆向(js逆向)
lempoo的博客
11-24 2201
异步爬虫的实现方式 - 线程池 - 多任务的异步协程 - 多线程(生产者消费者模型) 线程池 前提 from flask import Flask,render_template from time import sleep app = Flask(__name__) @app.route('/bobo') def index1(): sleep(2) return render_template('test.html') @app.route('/jay') def index2()
软考-软件设计师中级备考 11、计算机网络
开心程序员的博客
05-04 1397
IP 地址：是分配给网络设备的逻辑地址，用于在网络中标识设备的位置。目前常用的是 IPv4 地址，它由 32 位二进制数组成，通常用点分十进制表示，如 192.168.1.1。IPv4 地址空间有限，随着网络设备的大量增加，逐渐出现地址不足的问题。网络故障 1)ping 127.0.0.1 2)ping 本机局域网ip 3）ping 网关 4)ping 百度IPv6：是为了解决 IPv4 地址耗尽问题而提出的下一代 IP 协议。
Mac配置php开发环境(多PHP版本，安装Redis)
taokexia的博客
05-09 293
在Mac上配置多版本PHP开发环境，可以通过Homebrew安装和切换不同版本的PHP。使用brew install命令安装所需版本，如PHP 7.4、8.0、8.2等，并通过brew link和brew unlink命令切换版本。源代码，然后通过phpize、./configure、make等命令编译扩展，并在php.ini中启用扩
简易壁纸网站开发之旅
小二丶的博客
05-08 830
简易壁纸网站开发之旅
Webug4.0靶场通关笔记17- 第21关文件上传(htaccess)
mooyuan的网络安全博客
05-06 741
本文通过《webug4.0靶场第21文件上传之htaccess》对客户端前端和服务端的代码进行审计，基于代码审计来分析渗透思路并进行渗透实战。
文件包含2
最新发布
Sean_summer的博客
05-10 497
根据这两个例子的对比就可以看到其实二者从源代码其实是很难分辨出来，但是对于传入的payload却是有所不同的。【这个代码对参数进行了处理，即在参数后面增加了一个.php的后缀，这就是将任何参数都转为了一个php文件】比如这里就是将php://输入流的所有内容读取为字符串，来确保strlen()函数的实现。那么我们的payload就应该是前面有长度为800的字符，然后再输入我们的php伪协议。这里看到直接告诉了flag的位置， 那么就猜测是一个 本地文件包含。得到的编码进行base64解码就可以了。
Vulfocus靶场-文件上传-1
sudamasami的博客
05-08 1307
描述: Apache(音译为阿帕奇)是世界使用排名第一的Web服务器软件。它可以运行在几乎所有广泛使用的计算机平台上，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。此漏洞的出现是由于 apache 在修复第一个后缀名解析漏洞时，用正则来匹配后缀。在解析 php 时 xxx.php\x0A 将被按照 php 后缀进行解析，导致绕过一些服务器的安全策略打开页面为空白页面 尝试上传一个php文件发现为bad file 有做限制上传一个phpphp文件 发现可以上传。
【PHP】基于币安链，一个完整的USDT转账示例
q8688的博客
05-09 174
本文介绍了在PHP环境下通过Web3和BscScan API进行USDT转账的完整流程。首先，通过查询账户余额确保资金充足，接着动态获取nonce、gasPrice和estimateGas等交易参数。随后，构建交易数据并签名，最后通过发送交易完成转账。文章详细展示了每个步骤的代码实现，包括余额查询、参数获取、交易构建和发送等关键操作，并提供了完整的示例代码，帮助开发者快速实现基于BSC网络的USDT转账功能。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值