标题: 王一航对《PHP逆向工程趣味迷题》的解迷
创建: 2021-10-07 13:09 更新: 2021-10-08 15:58 链接: https://scz.617.cn/web/202110071309.txt
原题见
《PHP逆向工程趣味迷题》 https://scz.617.cn/web/202110012159.txt
截至2021.10.7，有两位同学反馈了解迷，第一位先成功运行scz_puzzles.php.bin， 继而通过VLD猜出相关代码逻辑，然后解迷成功，算是传统解迷思路。第二位没有动 用VLD，他用了其他技巧，我觉得第二种解法挺有趣，分享一下王一航的反馈。
由于即将分享他的解迷细节，致使该题趣味性丧失殆尽。若看到本文的同学仍有兴趣 挑战一下自己的逆向工程技能，建议不要往下看了，这就不是简单剧透的问题了，而 是让你完全失去乐趣。当然，出这道题的目的本来也是激励大家在技术道路上不断勇 攀高峰，即使被人彻底剧透，能有所收获，仍然值得。
王一航在微信中简述了大致思路
既然scz_puzzles.php.bin可以正常运行，只需要将op_array在运行时dump出来即可。 浏览了一下opcache扩展的源码，发现其提供了zend_dump_op_array()的功能。因此 只需要在加载opcache文件之后，将其中的op_array通过该函数dump出来即可。
对php-7.3.30进行patch
https://paste.ubuntu.com/p/P7dTWhhq6h/
然后运行该opcache文件，即可在stderr看到dump出的op_array
https://paste.ubuntu.com/p/SN8NNv63yb/
是一种类似汇编的文本。
然后手工将op_array汇编文本逆成PHP伪代码
https://paste.ubuntu.com/p/7nmGYBRsc4/
再看PHP伪代码的逻辑进行解迷。
他还简述了未来展望
1.
通过对opcache扩展dump出的op_array汇编文本进行解析实现反编译器，感觉PHP文件 在被opcache扩展编译成opcache文件时丢失的信息并不多，大概率可以恢复成和源码 非常类似的版本
2.
修改opcache扩展，添加反编译功能，使其可以直接dump PHP源码，或者将该功能作 为Zend Extension提供
3.
直接解析opcache文件，但是与PHP版本强相关，是一个苦差事，不如直接用 zend_dump_op_array()
4.
逆向该加密算法，需要时间和耐心
坦率地说，王一航的解法我事先没有想到过，他这个脑洞开得相当不错，我很受启发。
他的Patch如下
diff --git a/ext/opcache/zend_file_cache.c b/ext/opcache/zend_file_cache.c index 8b6ebd9fe7..78ffb88a9e 100644 --- a/ext/opcache/zend_file_cache.c +++ b/ext/opcache/zend_file_cache.c @@ -21,6 +21,7 @@ #include "zend_compile.h" #include "zend_vm.h" #include "zend_interfaces.h" +#include "Optimizer/zend_dump.h"
#include "php.h" #ifdef ZEND_WIN32 @@ -1036,6 +1037,7 @@ static void zend_file_cache_unserialize_op_array(zend_op_array *op_arr UNSERIALIZE_STR(op_array->doc_comment); UNSERIALIZE_PTR(op_array->try_catch_array); UNSERIALIZE_PTR(op_array->prototype); + zend_dump_op_array(op_array, ZEND_DUMP_RT_CONSTANTS, "scz_puzzles", NULL); return; }
@@ -1160,6 +1162,7 @@ static void zend_file_cache_unserialize_op_array(zend_op_array *op_arr UNSERIALIZE_PTR(op_array->try_catch_array); UNSERIALIZE_PTR(op_array->prototype); } + zend_dump_op_array(op_array, ZEND_DUMP_RT_CONSTANTS, "scz_puzzles", NULL); }
static void zend_file_cache_unserialize_func(zval *zv,
zend_dump_op_array()的输出形如
ooooooo: ; (lines=20, args=0, vars=3, tmps=1) ; (scz_puzzles) ; /home/scz/src/php73/scz_puzzles.php:235-259 L0 (240): INIT_STATIC_METHOD_CALL 1 string("oooo00o") string("o00o00o") L1 (240): SEND_VAL string("ooo oooo00o 000 ooo oooo00o 000 ooo oooo00o 000 ooo oooo00o 000") 1 L2 (240): V3 = DO_UCALL L3 (240): CV0($o0000) = QM_ASSIGN V3 L4 (241): INIT_STATIC_METHOD_CALL 2 string("oooo00o") string("o0o0o0o") L5 (241): SEND_VAR CV0($o0000) 1 L6 (241): SEND_VAL string("ooo oooo00o 0000ooo ooo oooo00o 0000ooo ooo oooo00o 0000ooo") 2 L7 (241): V3 = DO_UCALL L8 (241): CV1($oooo0) = QM_ASSIGN V3 L9 (244): INIT_STATIC_METHOD_CALL 2 string("oooo00o") string("o00000o") L10 (244): SEND_VAR CV0($o0000) 1 L11 (244): SEND_VAR CV1($oooo0) 2 L12 (244): V3 = DO_UCALL L13 (244): CV2($ooo0) = QM_ASSIGN V3 L14 (247): T3 = IS_IDENTICAL CV2($ooo0) string("ooo oooo00o 0000ooo ooo oooo00o 0000ooo ooo oooo00o 0000ooo") L15 (247): JMPZ T3 L18 L16 (251): ECHO string("Right! But you need to guess another puzzles ... What's this? fd81682965a6a8c1289ed6478ad2740647509a847d7483c3008b647cd7e1270e2a40d618719696983c6ad9550e2ea81e71d322a5cf51b16629551db8c3ef2f499262ec558bb7ca6d ") L17 (258): EXIT L18 (255): ECHO string("Wrong! ") L19 (258): EXIT
$_main: ; (lines=3, args=0, vars=0, tmps=0) ; (scz_puzzles) ; /home/scz/src/php73/scz_puzzles.php:1-263 L0 (261): INIT_FCALL 0 144 string("ooooooo") L1 (261): DO_UCALL L2 (263): RETURN int(1)
他的手工逆向结果展示
class oooo00o { public static $oo = 0xFFFFFFFF;
public static function o0($oooo) {
$oo00000 = unpack("N*", $oooo);
$ooo0000 = array();
$oooo00 = 0;
foreach ($oo00000 as $oooo000) {
$ooo0000[$oooo00++] = $oooo000;
}
return $ooo0000;
}
public static function o0o($oo0000) {
return pack("N", $oo0000);
}
public static function o00o($oo0, $o00) {
if (SELF::$debug) {var_dump(debug_backtrace());}
$oo0 = SELF::o0($oo0);
$ooooo00 = $oo0[0];
$oooooo0 = $oo0[1];
$o00 = SELF::o0($o00);
$ooooo0o = $o00[0];
$oooo0oo = $o00[1];
return SELF::o0o(($ooooo00 ^ $ooooo0o) & SELF::$oo).SELF::o0o(($oooooo0 ^ $oooo0oo) & SELF::$oo);
}
public static function o000o($oooo0, $o0000) {
if (SELF::$debug) {var_dump(debug_backtrace());}
$ooo000 = 0;
$o0000 = SELF::o0($o0000);
$oo0oooo = $o0000[1];
$o0ooooo = $o0000[0];
$ooooo0 = 0;
while ($ooooo0 < 16) {
$ooo000 += 0x6e36b677;
$o0ooooo += (((SELF::$oo & ($oo0oooo << 4)) + $oooo0[0]) ^ ($oo0oooo + $ooo000)) ^ ((SELF::$oo & ($oo0oooo >> 7)) - $oooo0[1]);
$o0ooooo &= SELF::$oo;
$oo0oooo += (((SELF::$oo & ($o0ooooo << 4)) - $oooo0[2]) ^ ($o0ooooo + $ooo000)) ^ ((SELF::$oo & ($o0ooooo >> 7)) + $oooo0[3]);
$oo0oooo &= SELF::$oo;
++$ooooo0;
}
return SELF::o0o($o0ooooo).SELF::o0o($oo0oooo);
}
public static function oo0oo($oooo0, $o0000) {
if (SELF::$debug) {var_dump(debug_backtrace());}
$ooo000 = SELF::$oo & 0x6e36b6770;
$o0000 = SELF::o0($o0000);
$o0ooooo = $o0000[0];
$oo0oooo = $o0000[1];
$oo0 = $oooo0[0];
$o00 = $oooo0[1];
$oo00 = $oooo0[2];
$o000 = $oooo0[3];
$ooooo0 = 0;
while ($ooooo0 < 16) {
$oo0oooo -= ((($o0ooooo << 4) - $oo00) ^ ($o0ooooo + $ooo000)) ^ (($o0ooooo >> 7) + $o000);
$oo0oooo &= SELF::$oo;
$o0ooooo -= ((($oo0oooo << 4) + $oo0) ^ ($oo0oooo + $ooo000)) ^ (($oo0oooo >> 7) - $o00);
$o0ooooo &= SELF::$oo;
$ooo000 -= 0x6e36b677;
$ooo000 &= SELF::$oo;
++$ooooo0;
}
return SELF::o0o($o0ooooo).SELF::o0o($oo0oooo);
}
public static function o0o0o0o($oooo0, $o0000) {
if (SELF::$debug) {var_dump(debug_backtrace());}
$o00oooo = strlen($o0000);
$o0o0ooo = ((8 - ($o00oooo + 2)) % 8) + 2;
if ( ($o0o0ooo < 2) || $o0o0ooo >= 9) {
$o0o0ooo = $o0o0ooo + 8;
}
$o0oo0oo = "";
$ooooo0 = 0;
while ($ooooo0 < $o0o0ooo) {
$o0oo0oo .= chr(rand(0, 255));
++$ooooo0;
}
$o0000 = chr(($o0o0ooo - 2) | 0xf8).$o0oo0oo.$o0000;
$o0ooo0o = strlen($o0000) + 7;
$o0000 = pack("a".$o0ooo0o, $o0000);
$o0oooo0 = pack("a8", "");
$oo0ooo0 = pack("a8", "");
$o00000 = "";
pack("a8", "");
$ooooo0 = 0;
while ($ooooo0 < strlen($o0000)) {
$o = SELF::o00o(substr($o0000, $ooooo0, 8), $o0oooo0);
$o0oooo0 = SELF::o00o(SELF::o000o($oooo0, $o), $oo0ooo0);
$oo0ooo0 = $o;
$o00000.=$o0oooo0;
$ooooo0 = $ooooo0 + 8;
}
return $o00000;
}
public static function o00000o($oooo0, $o0000) {
if (SELF::$debug) {var_dump(debug_backtrace());}
$oo0000 = strlen($o0000);
$ooo0oo0 = SELF::oo0oo($oooo0, $o0000);
$oooo0o0 = (ord($ooo0oo0[0]) & 7) + 2;
$o00000 = $ooo0oo0;
$ooooo00 = substr($o0000, 0, 8);
$ooooo0 = 8;
while ($ooooo0 < $oo0000) {
$oo00ooo = SELF::o00o(SELF::oo0oo($oooo0, SELF::o00o(substr($o0000, $ooooo0, $ooooo0+8), $ooo0oo0)), $ooooo00);
$ooo0oo0 = SELF::o00o($oo00ooo, $ooooo00);
$ooooo00 = substr($o0000, $ooooo0, $ooooo0+8);
$o00000 .= $oo00ooo;
$ooooo0 = $ooooo0 + 8;
}
if (substr($o00000, -7) != pack("a7", "")) {
return "";
} else {
return substr($o00000, $oooo0o0 + 1, -7);
}
}
public static function o00o00o($oooo0) {
if (SELF::$debug) {var_dump(debug_backtrace());}
$ooo000 = array();
$ooooo0 = 0;
while ($ooooo0 < 256) {
$ooo000[$ooooo0] = $ooooo0;
++$ooooo0;
}
$oooo00 = 0;
$ooooo0 = 0;
while ($ooooo0 < 256) {
$oooo00 = (($oooo00 + $ooo000[$ooooo0]) + ord($oooo0[$ooooo0 % strlen($oooo0)])) % 0x100;
$oo00ooo = $ooo000[$ooooo0];
$ooo000[$ooooo0] = $ooo000[$oooo00];
$ooo000[$oooo00] = $oo00ooo;
++$ooooo0;
}
$oo00ooo = array();
$ooooo0 = 0;
while ($ooooo0 < 64) {
$oo00ooo[$ooooo0] = $ooo000[$ooooo0 * 4];
$oooo00 = 1;
while ($oooo00 < 4) {
$oo00ooo[$ooooo0] = $oo00ooo[$ooooo0] | ($ooo000[$oooo00 + ($ooooo0 * 4)] << ($oooo00 * 8));
++$oooo00;
}
++$ooooo0;
}
return $oo00ooo;
}
}
function ooooooo() { $o0000 = oooo00o::o00o00o("ooo oooo00o 000 ooo oooo00o 000 ooo oooo00o 000 ooo oooo00o 000"); $oooo0 = oooo00o::o0o0o0o($o0000, "ooo oooo00o 0000ooo ooo oooo00o 0000ooo ooo oooo00o 0000ooo"); $ooo0 = oooo00o::o00000o($o0000, $oooo0); if ($ooo0 == "ooo oooo00o 0000ooo ooo oooo00o 0000ooo ooo oooo00o 0000ooo") { echo "Right! But you need to guess another puzzles ...\nWhat's this?\nfd81682965a6a8c1289ed6478ad2740647509a847d7483c3008b647cd7e1270e2a40d618719696983c6ad9550e2ea81e71d322a5cf51b16629551db8c3ef2f499262ec558bb7ca6d\n"; exit; } else { echo "Wrong!\n"; exit; } }
ooooooo();
王一航的这个纯手工逆向结果很赞，换我是没这个纯手工耐心的，还原度相当高，有 一些小问题，但做源码审计足矣。
我做些技术补充。为了充分利用zend_dump_op_array()，还可以考虑直接在gdb中调 用它。
ls -l scz_puzzles.php
确认scz_puzzles.php为空
php73 \ -d opcache.enable_cli=1 -d opcache.file_cache="/home/scz/src/opcache" \ -d opcache.validate_timestamps=0 -d opcache.file_cache_consistency_checks=0 \ -f scz_puzzles.php
确认scz_puzzles.php.bin可以正常执行
gdb -q -nx -x gdbinit_x64.txt -x gdbhelper.py -ex 'display/5i $pc' php73
catch load opcache commands $bpnum silent b zend_file_cache.c:1162 commands $bpnum silent call (void)zend_dump_op_array($rbx,0x80000000,"any",0) c end c end r -d opcache.enable_cli=1 -d opcache.file_cache="/home/scz/src/opcache" -d opcache.validate_timestamps=0 -d opcache.file_cache_consistency_checks=0 -f scz_puzzles.php
或
catch load opcache commands $bpnum silent b *(zend_file_cache_unserialize_op_array+412) commands $bpnum silent call (void)zend_dump_op_array($rbx,0x80000000,"any",0) c end c end r -d opcache.enable_cli=1 -d opcache.file_cache="/home/scz/src/opcache" -d opcache.validate_timestamps=0 -d opcache.file_cache_consistency_checks=0 -f scz_puzzles.php
在这个断点处$rbx对应"zend_op_array *"，0x80000000即ZEND_DUMP_RT_CONSTANTS。
上述方案的好处是不用Patch并编译源码，在现有环境中迅速得到汇编代码。这种断 点都是环境相关的，理解原理后根据自己的环境自行修改以适配不同PHP版本。
迷题中的加密算法不值得逆向分析，但王一航已经给出了手工逆向分析后的伪PHP代 码，眼尖的同学可能看出了端倪。我挖了一些与最终答案不相关的坑，当时是准备对 付我这类人的，有不少跟我逆向工程经验相近的人，TA们在面临加密算法时会取巧， 所挖的坑就是让这种取巧不成立。有兴趣、有闲情的同学或可对之解析一二，不说破 了，本来就是迷题么，讲究解迷的乐趣。
若看到此处，仍有兴趣解迷，可以继续按原题中的约定进行时间戳及SHA256的反馈， 请勿直接在迷题解析中反馈最终答案，这也是保护他人乐趣，算是一种公共礼貌。
话说我设计的这个迷题反馈方式还可以吧。