PHPDeobfuscator

phpdeobfuscator

概述

该DEOBFUSCATOR试图逆转应用于PHP源代码的常见混淆技术。

它是在PHP-Parser的帮助下在PHP中实施的。

特征

• 减少所有常数表达式，例如1 + 2被3取代
• 安全运行白名单php功能，例如base64_decode
• DEOBFUSCATE eval表达式
• 揭开深度嵌套的混淆
• 文件系统虚拟化
• 可变解析器（例如$var1 = 10; $var2 = &$var1; $var2 = 20;可以确定$var1等于20 ）
• 重写控制流浮肿

安装

PHP DeoBfuscator使用作曲家来管理其依赖性。确保首先安装作曲家。

在该项目的根部运行composer install以获取依赖关系。

用法

CLI

 php index.php [-f filename] [-t] [-o]

required arguments:

-f    The obfuscated PHP file

optional arguments:

-t    Dump the output node tree for debugging
-o    Output comments next to each expression with the original code

DEOBFUSCAT的输出被打印到Stdout。

Web服务器

index.php输出一个简单的textarea，将php代码粘贴到。提交表单时打印了Deobfusated代码

例子

输入

 <?php
eval ( base64_decode ( " ZWNobyAnSGVsbG8gV29ybGQnOwo= " ));

输出

 <?php

eval /* PHPDeobfuscator eval output */ {
    echo " Hello World " ;
};

输入

 <?
$ f = fopen ( __FILE__ , ' r ' );
$ str = fread ( $ f , 200 );
list (,, $ payload ) = explode ( ' ?> ' , $ str );
eval ( $ payload . '' );
?>
if ($doBadThing) {
    evil_payload();
}

输出

 <?php

$ f = fopen ( " /var/www/html/input.php " , ' r ' );
$ str = " <? n$ f = fopen(__FILE__, 'r'); n$ str = fread( $ f, 200); n list(,, $ payload) = explode('?>', $ str); n eval( $ payload . ''); n ?> n if ( $ doBadThing) { n    evil_payload(); n } n" ;
list (, , $ payload ) = array ( 0 => " <? n$ f = fopen(__FILE__, 'r'); n$ str = fread( $ f, 200); n list(,, $ payload) = explode(' " , 1 => " ', $ str); n eval( $ payload . ''); n" , 2 => "n if ( $ doBadThing) { n    evil_payload(); n } n" );
eval /* PHPDeobfuscator eval output */ {
    if ( $ doBadThing ) {
        evil_payload ();
    }
};
?>
if ($doBadThing) {
    evil_payload();
}

输入

 <?php
$ x = ' y ' ;
$ $ x = 10 ;
echo $ y * 2 ;

输出

 <?php

$ x = ' y ' ;
$ y = 10 ;
echo 20 ;

输入

 <?php
goto label4;
label1:
func4 ();
exit ;
label2:
func3 ();
goto label1;
label3:
func2 ();
goto label2;
label4:
func1 ();
goto label3;

输出

 <?php

func1 ();
func2 ();
func3 ();
func4 ();
exit ;