Обфускация строк на PHP

За несколько лет исследований различных кодировщиков и обфускаторов PHP-скриптов я изучил все используемые в них приемы сокрытия значений текстовых строк. Это могут быть названия функций или какие-то данные, которые должны быть представлены в виде строки. Так вот, во всех разобранных крипторах и обфускаторах символы в строке кодировались всего лишь несколькими способами: вариации преобразования строки из последовательности base64, декодирование из URL-encoded символов, escape-последовательности, упаковка строки в бинарные данные или результат функции chr по ординалу символа. Все подобные преобразования легко поддаются статическому анализу и декодированию типа замены по регулярным выражениям, то есть надежность сокрытия данных стремится к нулю.

В очередной раз экспериментируя с PHP, я решил на практике проверить, как поведет себя оператор инкремента и декремента в случае нецифровых значений. Согласно документации, при выполнении инкремента строковых переменных PHP следует соглашениям Perl, и рассматривает строку как условное число с базой значащих символов в диапазоне [a-z], [A-Z] и [0-9], причем одновременно. Проще всего это понять на следующих примерах:Более интересные случаи для пограничных значений:Постфиксный или префиксный инкремент тут значения не имеет, результат в обеих случаях одинаковый. При этом обратное действие, то есть декремент, как постфиксный, так и префиксный, на содержимое строки никак не влияет.

На служебные символы и символы, не относящиеся к латинскому алфавиту или цифрам, правило инкремента также не распространяется:Исходя из вышеизложенного следует, что, используя начальное значение строки и определенное количество операций инкремента, мы можем сформировать абсолютно любую текстовую строку, состоящую из латинских символов и цифр. Обратите внимание, что конкатенация выполняется с одним и тем же символом "a", который затем при помощи операций инкремента подгоняется до нужного значения.Это можно использовать при шифровании или обфускации PHP-скриптов. Кстати, ни в одном кодировщике или обфускаторе я подобные трюки не встречал. В качестве строк могут быть названия функций для их вызова через переменные или какие-либо критические значения, которые требуется скрыть. Более того, как следует из одного из приведенных примеров, при обработке строки с пограничными значениями "azz" при инкременте получится следущее:На что похоже? Правильно, первые два символа равны началу названия функции PHP "base64_decode", третий символ подгоняется соответствующим количеством инкрементов символа до значения "s" и так далее. Это частный случай кодирования результирующей строки, в начале которой есть символы "a" и "b", его мы будем использовать в следующем примере.

В качестве "боевого" примера, название функции "base64_decode" можно превратить вот в такое адское месиво, совершенно неподъемное для статического анализатора:А если разбавить этот код мусором с префиксным и постфиксным вычитанием, которое, как я уже сказал, фактически никак не будет влиять на содержимое строки, то получится вполне неплохой обфускатор для сокрытия произвольных текстовых строк. Конечно, при таком способе кодирования объем исполняемого кода заметно увеличивается, но использование компрессии и защита только критических данных позволяют решить эту проблему. Да и вообще, в наше время скриптами на многие сотни килобайт уже никого не удивить.

Пока что все изложенное остается в состоянии "proof of concept" и теоретических выкладок, но не исключено, что я изготовлю и собственный криптор для PHP-скриптов. Повторюсь, что подобных способов обфускации строк "в дикой природе" я пока не встречал.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.