gzuncompress и gzinflate: Assembler vs PHP

11.08.2009 | Категория: Темная сторона Силы | Автор: ManHunter

При разработке проекта Massacre возникла необходимость реализовать функции распаковки PHP-кода на Ассемблере. В этой статье я распишу все выкладки по этому вопросу. Кому-нибудь пригодится - хорошо, не пригодится - оставлю для себя, чтобы не забыть. Как всегда, начнем с теории. Функции gzuncompress и gzinflate обратны к функциям gzcompress и gzdeflate, соответственно. Все они используют алгоритм сжатия LZW, который также используется в бесплатной библиотеке zlib. Сперва скачаем эту библиотеку и воспользуемся Ассемблером, чтобы сжать какую-нибудь эталонную строку.

Code (Assembler) : Убрать нумерацию

format PE GUI 4.0
entry start
include 'win32a.inc'
section '.data' data readable writeable
strr db 'ManHunter' ; Строка для компрессии
lend = $-strr
bsize = 1000
blen dd bsize
tmp rb bsize
tmp2 rb bsize
tmp3 rb bsize
mask db '%.2X ',0
;----------------------------------------------------------
section '.code' code readable executable
start:
invoke compress,tmp,blen,strr,dword lend
mov ecx,[blen]
mov esi,tmp
@@:
push ecx
movzx eax,byte [esi]
invoke wsprintf,tmp2,mask,eax
add esp,12
invoke lstrcat,tmp3,tmp2
inc esi
pop ecx
loop @b
invoke MessageBox,HWND_DESKTOP,tmp3,NULL,MB_OK
invoke ExitProcess,0
;----------------------------------------------------------
section '.idata' import data readable writeable
library kernel32,"kernel32.dll",\
user32,"user32.dll",\
zlib,"zlib1.dll"
include "apia\kernel32.inc"
include "apia\user32.inc"
import zlib,\
compress,'compress'

В окне будет показана следующая строка:

78 9C F3 4D CC F3 28 CD 2B 49 2D 02 00 11 11 03 93
Часть строки я специально выделил красным цветом, дальше будет понятно зачем это сделано.

А теперь проделаем то же самое, но на PHP. Простенький скрипт покажет результаты работы обеих функций с разными параметрами сжатия. Строка, естественно, та же самая.

Code (PHP) : Убрать нумерацию

<?
$str="ManHunter";
for ($cl=0; $cl<=10; $cl++) {
if ($cl==10) {
echo "DFLT - ";
$tmp=gzdeflate($str);
}
else {
echo "CL=".$cl." - ";
$tmp=gzdeflate($str,$cl);
}
for ($i=0; $i<strlen($tmp); $i++) {
printf("%02X ",ord(substr($tmp,$i,1)));
}
echo "<br>";
}
echo "<br>";
for ($cl=0; $cl<=10; $cl++) {
if ($cl==10) {
echo "DFLT - ";
$tmp=gzcompress($str);
}
else {
echo "CL=".$cl." - ";
$tmp=gzcompress($str,$cl);
}
for ($i=0; $i<strlen($tmp); $i++) {
printf("%02X ",ord(substr($tmp,$i,1)));
}
echo "<br>";
}
?>

Результаты работы скрипта:

CL=0 - 01 09 00 F6 FF 4D 61 6E 48 75 6E 74 65 72

CL=1 - F3 4D CC F3 28 CD 2B 49 2D 02 00

CL=2 - F3 4D CC F3 28 CD 2B 49 2D 02 00

CL=3 - F3 4D CC F3 28 CD 2B 49 2D 02 00

CL=4 - F3 4D CC F3 28 CD 2B 49 2D 02 00

CL=5 - F3 4D CC F3 28 CD 2B 49 2D 02 00

CL=6 - F3 4D CC F3 28 CD 2B 49 2D 02 00

CL=7 - F3 4D CC F3 28 CD 2B 49 2D 02 00

CL=8 - F3 4D CC F3 28 CD 2B 49 2D 02 00

CL=9 - F3 4D CC F3 28 CD 2B 49 2D 02 00

DFLT - F3 4D CC F3 28 CD 2B 49 2D 02 00 



CL=0 - 78 01 01 09 00 F6 FF 4D 61 6E 48 75 6E 74 65 72 11 11 03 93

CL=1 - 78 01 F3 4D CC F3 28 CD 2B 49 2D 02 00 11 11 03 93

CL=2 - 78 5E F3 4D CC F3 28 CD 2B 49 2D 02 00 11 11 03 93

CL=3 - 78 5E F3 4D CC F3 28 CD 2B 49 2D 02 00 11 11 03 93

CL=4 - 78 5E F3 4D CC F3 28 CD 2B 49 2D 02 00 11 11 03 93

CL=5 - 78 5E F3 4D CC F3 28 CD 2B 49 2D 02 00 11 11 03 93

CL=6 - 78 9C F3 4D CC F3 28 CD 2B 49 2D 02 00 11 11 03 93

CL=7 - 78 DA F3 4D CC F3 28 CD 2B 49 2D 02 00 11 11 03 93

CL=8 - 78 DA F3 4D CC F3 28 CD 2B 49 2D 02 00 11 11 03 93

CL=9 - 78 DA F3 4D CC F3 28 CD 2B 49 2D 02 00 11 11 03 93

DFLT - 78 9C F3 4D CC F3 28 CD 2B 49 2D 02 00 11 11 03 93

Здесь тоже выделены некоторые строки. Они частично совпадают в случае использования gzdeflate и gzcompress, а в случае gzcompress с дефолтной степенью сжатия строка вообще полностью идентична результатам вызова функции compress библиотеки zlib. Можно сделать первые выводы: результат работы gzdeflate - только упакованные данные, а gzcompress - заголовок + упакованные данные + служебные данные. Возможно, служебные данные - это контрольная сумма или что-то около того, потому что при ее изменении распаковка вылетает с ошибкой. Но упакованные данные, выделенные красным цветом, во всех трех случаях одинаковые. Отсюда следует, что строка, сжатая командой gzcompress, распаковывается функцией uncompress библиотеки zlib без каких-либо изменений, и если в коде PHP-скрипта встречается функция gzuncompress, то ее аргументы можно смело распаковывать штатными средствами. А как быть с gzinflate, если у ее аргументов отсутствуют служебные данные? Попробуем просто дописать их и распаковать полученную строку.

Code (Assembler) : Убрать нумерацию

format PE GUI 4.0
entry start
include 'win32a.inc'
section '.data' data readable writeable
strr db 078h,09Ch ; Заголовок
db 0F3h,04Dh,0CCh,0F3h,028h,0CDh,02Bh,049h,02Dh,002h,000
db 0,0,0,0 ; Служебные данные неизвестны, просто заменим их нулями
lend = $-strr
bsize = 1000
blen dd bsize
tmp rb bsize
;----------------------------------------------------------
section '.code' code readable executable
start:
invoke uncompress,tmp,blen,strr,dword lend
invoke MessageBox,HWND_DESKTOP,tmp,NULL,MB_OK
invoke ExitProcess,0
;----------------------------------------------------------
section '.idata' import data readable writeable
library kernel32,"kernel32.dll",\
user32,"user32.dll",\
zlib,"zlib1.dll"
include "apia\kernel32.inc"
include "apia\user32.inc"
import zlib,\
uncompress,'uncompress'

Компилируем, запускаем, опа! Получаем распакованную исходную строку. Отсюда следует, что для распаковки строки, запакованной gzdeflate, к ней в начало достаточно дописать два байта заголовка 078h и 09Ch, а служебную информацию в конец строки можно записывать любую. После этого строка легко распаковывается функцией uncompress библиотеки zlib. Во всех виденных мной протекторах и зашифрованных скриптах, функции упаковки вызываются с дефолтными параметрами, а значит и распаковываются по описанной выше схеме.

В приложении скрипт на PHP и примеры программ на Ассемблере, использованные в статье. Исходники без комментариев, все параметры вызова функций zlib можно посмотреть на офсайте или в прилагаемой к дистрибутиву документации.

Assembler vs PHP - примеры к статье

Assembler.vs.PHP.zip (36,666 bytes)

Просмотров: 6273 | Комментариев: 6

Метки: Assembler, PHP

Внимание! Статья опубликована больше года назад, информация могла устареть!

хех. ну там как бы не просто "служебная информация", а паддинг. если этот код исполнялся бы на уровне ядра, то мог бы иногда падать из-за выхода за границы страницы. а в случае приложения - ок, там сегмент данных ещё приличный сзади =)

Zummenix (10.08.2009 в 16:22):

Обязательно пригодится :)

Добавить комментарий

Заполните форму для добавления комментария

Если программист в девять утра уже на работе, значит он там же и ночевал

Главная страница Web-мастеру и не только Образ мышления: Assembler Мои программы Software Темная сторона Силы Обзоры техники А еще я туда ем! Жизнь в оффлайне Всякая всячина

Карта сайта Ссылки Обратная связь Правила сайта Настройки сайта RSS-канал

Материалы, опубликованные на этом сайте, не рекомендуются к просмотру лицам в возрасте до 16 лет без присутствия взрослых.

Метки статей

Свернуть

Вам помог этот сайт?

Поблагодарили 35,338 раз

День инфобизнесмена

День работника сельского хозяйства и перерабатывающей промышленности

Нашли на сайте орфографическую ошибку? Выделите ее мышкой и нажмите

Ctrl

Enter

Буду очень благодарен, если размеcтите мою кнопочку:

<a href="https://www.manhunter.ru" target="_blank"><img src="https://www.manhunter.ru/images/button.gif" alt="Личный блог ManHunter'а" title="Личный блог ManHunter'а" width="88" height="31" /></a>

$Яндекс тИЦ: {YANDEX_TIC}$

Яндекс ИКС: 360

Сейчас я слушаю

---

- автообновление

Powered by PCL's Speckled Band Engine 0.2 RC3
© ManHunter / PCL, 2008-2024
При использовании материалов ссылка на сайт обязательна
Время генерации: 0.08 сек. / MySQL: 2 (0.0095 сек.) / Память: 4.5 Mb

	2024 - ОКТЯБРЬ
Пн	Вт	Ср	Чт	Пт	Сб	Вс
	1	2	3	4	5	6
7	8	9	10	11	12	13
14	15	16	17	18	19	20
21	22	23	24	25	26	27
28	29	30	31

gzuncompress и gzinflate: Assembler vs PHP

Комментарии

Добавить комментарий