PHPDeobfuscator

Phpdeobfuscator

Überblick

Dieser Deobfuscator versucht, gemeinsame Verschleierungstechniken, die auf den PHP -Quellcode angewendet werden, umzukehren.

Es wird in PHP mit Hilfe von PHP-Parser implementiert.

Merkmale

• Reduziert alle konstanten Ausdrücke, z. 1 + 2 wird durch 3 ersetzt
• Mit base64_decode sicher ausgeführt whitelisted PHP -Funktionen
• Deobfuscate eval Expressions
• Tief verschachtelte Verschleierung auspacken
• Dateisystem Virtualisierung
• Variabler Resolver (z. B. $var1 = 10; $var2 = &$var1; $var2 = 20; kann $var1 gleich 20 bestimmen)
• Schreiben Sie den Steuerflussverzerrung um

Installation

PHP Deobfuscator verwendet Komponist, um seine Abhängigkeiten zu verwalten. Stellen Sie sicher, dass der Komponist zuerst installiert ist.

Führen Sie composer install , um Abhängigkeiten abzurufen.

Verwendung

Cli

 php index.php [-f filename] [-t] [-o]

required arguments:

-f    The obfuscated PHP file

optional arguments:

-t    Dump the output node tree for debugging
-o    Output comments next to each expression with the original code

Die deobfuszierte Ausgabe wird in STDOut gedruckt.

Webserver

index.php gibt eine einfache TextArea aus, um den PHP -Code einzufügen. Der Deobfuscated -Code wird gedruckt, wenn das Formular eingereicht wird

Beispiele

Eingang

 <?php
eval ( base64_decode ( " ZWNobyAnSGVsbG8gV29ybGQnOwo= " ));

Ausgabe

 <?php

eval /* PHPDeobfuscator eval output */ {
    echo " Hello World " ;
};

Eingang

 <?
$ f = fopen ( __FILE__ , ' r ' );
$ str = fread ( $ f , 200 );
list (,, $ payload ) = explode ( ' ?> ' , $ str );
eval ( $ payload . '' );
?>
if ($doBadThing) {
    evil_payload();
}

Ausgabe

 <?php

$ f = fopen ( " /var/www/html/input.php " , ' r ' );
$ str = " <? n$ f = fopen(__FILE__, 'r'); n$ str = fread( $ f, 200); n list(,, $ payload) = explode('?>', $ str); n eval( $ payload . ''); n ?> n if ( $ doBadThing) { n    evil_payload(); n } n" ;
list (, , $ payload ) = array ( 0 => " <? n$ f = fopen(__FILE__, 'r'); n$ str = fread( $ f, 200); n list(,, $ payload) = explode(' " , 1 => " ', $ str); n eval( $ payload . ''); n" , 2 => "n if ( $ doBadThing) { n    evil_payload(); n } n" );
eval /* PHPDeobfuscator eval output */ {
    if ( $ doBadThing ) {
        evil_payload ();
    }
};
?>
if ($doBadThing) {
    evil_payload();
}

Eingang

 <?php
$ x = ' y ' ;
$ $ x = 10 ;
echo $ y * 2 ;

Ausgabe

 <?php

$ x = ' y ' ;
$ y = 10 ;
echo 20 ;

Eingang

 <?php
goto label4;
label1:
func4 ();
exit ;
label2:
func3 ();
goto label1;
label3:
func2 ();
goto label2;
label4:
func1 ();
goto label3;

Ausgabe

 <?php

func1 ();
func2 ();
func3 ();
func4 ();
exit ;