[HaBo]

Mich

Hallo,
ich suche nach einer Möglichkeit diese footer.php zu entschlüsseln..
Ich hatte vor ner weile schonmal danach gefragt, habe dann aber schließlich aufgegeben, weil ich nicht weiterkam.
Jetzt denke ich dass ichs vielleich schaffen könnte.

Hier der Code:

Anhand des = -Zeichens am Ende nehme ich an, das es eine Base64- Verschlüsselung ist. Wenn ich das ganze also über base64 decodiere erhalte ich folgendes:
xœsutvvõq rñb`f```b`fRé©%Ù©•@„ã ä &$¶#ãÏÆz†© 6ˆ`b6•9hÚ™‘ØŒÌ@ÊF?)?¥ÒŽËF?£$7ÇŽËŸa 2��Ddº

Wenn ich das nun über gzuncompile nochmals decodiere erhalte ich:

EACCELERATOR��������getkey������getKey������������ ��������������>ù��•�����������������������l������ ��������������������(���O•������������������ ��


So das ist doch schonmal was. man kann schon einelne Befehle lesen.
Es ist nur ne kleine Datei, aber ich weiß nicht mehr was drinne stand, deswegen brauch ich sie unbeding. Ich hoffe ab hier kann mir jemand weiterhelfen. Ich denke das der über base64 decodierte code sowas wie die Binärdatei von dem Php-Code ist. Aber ich bin mir auch nicht so sicher.
Es gibt auf jedenfall eine Möglichkeit, vielleicht kommt einer von euch drauf.

Gruß Mich

Thunderb0lt

Hast du schonmal versucht dir den Code von diesem eAccelerator anzuschauen? Das wäre vielleicht einfacher, als herumzuraten
Scheint ja OS zu sein.

Mich

Das ist schonmal eine Gute Idee. In der Encoder.php finde ich auch die nötige Funktion:

Allerdings wird dort eine weitere Funktion aufgerufen (die fett geschriebene), die die eigentliche encodier arbeit erledigt. Diese Funktion wird anscheinend beim Installieren des Eaccellerators Global für alle Php Dateien verfügbar gemacht. Deswegen weiß ich gerade leider nicht wo ich die finde. Vielleicht kann mir das einer sagen? Falls ihr es braucht, den Source Code kann man hier herunterladen:
http://sourceforge.net/projects/eaccelerator/files/

Gruß Mich

Thunderb0lt

Na ja, das scheint ja eine Erweiterung für PHP zu sein, also musst du dir den Sourcecode dieser Erweiterung anschauen und nicht diese PHP Datei. Vom Namen her würde ich also vielleicht in der encoder.c anfangen.

http://dev.eaccelerator.net/eacceler....9.5/encoder.c

Elderan

Hallo,
eAccelerator "kompiliert" PHP Scripts, so dass diese direkt ausgeführt werden können ohne erst den aufwendigen (d.h. zeitraubenden) Umweg über den PHP Interpreter zu gehen. Damit soll man Performancevorteile bekommen.

Deswegen lässt sich das auch nicht leicht dekodieren, da du eben dort nicht kodierten PHP Code vorfindest. Stattdessen müsstest man es disassemblieren, wie man es von normalen Programmen herkennt. Gut möglich, dass du dann am Ende mit einer Art Maschinencode dortstehst.

Ob es vernünftige disassembler für PHP Binärcode / eAccelerator gibt kann ich nicht sagen. Es könnte sein dass es schonen einen gibt der dir das in PHP Code zurückübersetzt (ähnlich wie mit Bytecode bei Java), kann aber auch sein, dass dort noch niemand ein Programm geschrieben hat.

Mich

Danke für eure Antworten. Ich habe mir die encode C-Datei angesehen.
Leider kann ich kein C, die Sprache ist zwar nicht besonders schwer, aber so ganz Blicke ich da nicht durch. Ich habe schon nach einem Eaccelerator decoder oder disassemblierer gesucht, allerdings findet man dort nichts.
Ich finde nur dauernt von verschiedenen Leuten postings, dass sie es geschafft haben, allerdings nirgends einen Hinweis wie. Was mir auch komisch vorkommt, ist es das ich da ja mit meinen ersten Versuchen schon ein paar Lesbare sachen rausbekommen hab, was mir ein bisschen Hoffnung gibt, dass es doch irgendwie klappen könnte. Hat jemand zu meinem ersten Ansatz (also erst Base64 dann gzuncompile) vielleicht noch ne Idee?

Dresko

PHP wird wie Java in einer VM ausgeführt. Der Grund ist aber nicht die Plattformunabhängigkeit, sondern das grundlegende Design von PHP. Denn die Zend-Engine übersetzt nicht nur die 75 Basisoperationen eines x86-Chipsatzes, sondern nutzt auch noch eigene Kommandos (nennt man Opcodes). Es gibt also innerhalb der Zend-Engine neben Addition, Subtraktion usw. auch noch Implementierungen für include(), echo() usw.

Wenn nun eine PHP-Source-Datei von einem Client angefragt wird, nimmt die Zend-Engine die Source-Datei, interpretiert sie und übersetzt sie in den sogenannten Bytecode (kann man sich wie Assembler-Code vorstellen). Dieser Bytecode wird nun in ein Array gepackt (dem sog. Op-Array). Danach wird von einer anderen Komponente der Zend-Engine dieses Op-Array Schritt-für-Schritt ausgeführt.

Genau da setzen nun Programme wie eAccelerator, ionCube, ZenGuard usw an.
Auf der einen Seite wird der Bytecode schon vorkompiliert und gecached, sodass dieser Zwischenschritt nicht immer wieder gemacht werden muss, zum anderen sollen sie meist dabei helfen den Source-Code zu verschleiern, damit er nicht einfach kopiert oder geändert werden kann.
Um dies halbwegs effektiv bewerkstelligen zu können, müssen sie die Zend-spezifischen Opcodes und die zend_compile()- und zend_execute()-Funktionen durch eigene Versionen ersetzen bzw. erweitern.

Ganz egal was du machst, du wirst also höchstens an diesen Bytecode rankommen. Mit VLD oder mit ByteKit kannst du dann zwar die Oparrays dumpen und dir die Opcodes in lesbarer Form anzeigen lassen, aber wie schon erwähnt, ist das sehr Assembler-ähnlich und auch ähnlich komplex.

Interessant dazu:
http://powerofcommunity.net/poc2008/stefan.pdf
http://elearn.jku.at/wiki/index.php/...Gruppe_7/Paper

__________________
Programming today is a race between software engineers striving to build bigger and better idiot-proof programs, and the Universe trying to produce bigger and better idiots. So far, the Universe is winning.
- Rick Cook -