Расшифровать base64_decode [Архив]

Просмотр полной версии : Расшифровать base64_decode

m-Xacker

06.12.2008, 18:13

Добрый день вопрос можно ли расшифроват данный код

<?php // This file is protected by copyright law and provided under license. Reverse engineering of this file is strictly prohibited.
$OOO0O0O00=__FILE__;$O00O00O00=__LINE__;$OO00O0000 =16228;eval((base64_decode('JE8wMDBPME8wMD1mb3Blbi gkT09PME8wTzAwLCdyYicpO3doaWxlKC0tJE8wME8wME8wMClm Z2V0cygkTzAwME8wTzAwLDEwMjQpO2ZnZXRzKCRPMDAwTzBPMD AsNDA5Nik7JE9PMDBPMDBPMD0oYmFzZTY0X2RlY29kZShzdHJ0 cihmcmVhZCgkTzAwME8wTzAwLDM3MiksJ3ZoSzE5b0ovUDBrVk Z1OHpnVStEQ3BXd2pSQXQzZGFmc2VYY1NJN1lHNFR5clFIMkVN aXhOQlptbjZsTDViT3E9JywnQUJDREVGR0hJSktMTU5PUFFSU1 RVVldYWVphYmNkZWZnaGlqa2xtbm9wcXJzdHV2d3h5ejAxMjM0 NTY3ODkrLycpKSk7ZXZhbCgkT08wME8wME8wKTs=')));retur n;?>
09bzF1hzF1hzF1BI37pYwm0I3JMejZCG0BbfUSIFUpbf0iEX0i PH09bzDxhzF95EFKnX0iPrkJ0e3ZCZuobSRWu2RJCG3mUid/PGRY0IjWgG095EF1hzF95EFKESDN5EF95EF1vEk+EYd7eVFDI2 +XbgFJQWUYCna7dpkNU13odmAI0hd1uSjWRxRpecCNSmWC3Np/IiCCsiUCB4a96KW7BHu7MFuW0z3DNYVKdhgSu9UCR/+9Ik+NMuDSbgCp0DpopWpBeRW7oXjZUIR7dGAW4ytJBHtmhM3Y uNdwRma/IlF19iFxgBuc3n8+r20iS4k+SLR7urtmuIkKUzF1vEDxhzF1v4 8ZpZjWEG09bzF1hzF1hzFKSL1gGSjZBxwZocjZpx3ivbPK09UC BzCNpzPcruKYuI3mu4tZ6f3mUe3YgGkDruKXUeRJNsz+vSwBuo CIRoCIrY+oUCCobPDBuC0BNL1g44RXvGPWR4tJpfRwe43mUxkK PHVZu7RibStZBeAWnXk+SsaivuKXUNtwvbR7bERWnGPXn2jZRY VZU2tWo4tXPrPY3XkDruK7Rm37INR+sSdJBEVKvX0JoSt+P48E NkR7urtmuIkKUNtwv48ENkfgNkAWjskKUfC9bDporYdwhSjwUI 0BNszDNsPcPXPKj7PKUfC9bDporY3YpH0BNszDNsP7u2t7R4Ri P4P/r01gGSt7pmRJbQjWIHP1Ns0obgDBuCWidHRwdStZBeAWnYwDru KXUStZBeAWnbR7IrR+sXVXbcR732RJbQjWIHPXSL1gGSR7IHRK vbPJRet/uI8ENkR7bikKU4zDvL0JS5jZbBtYgG

rushter

06.12.2008, 18:34

$O000O0O00=fopen($OOO0O0O00,'rb');while(--$O00O00O00)fgets($O000O0O00,1024);fgets($O000O0O00 ,4096);$OO00O00O0=(base64_decode(strtr(fread($O000 O0O00,372),'vhK19oJ/P0kVFu8zgU+DCpWwjRAt3dafseXcSI7YG4TyrQH2EMixNBZmn6 lL5bOq=','ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmn opqrstuvwxyz0123456789+/')));eval($OO00O00O0);
что-то вроде этого

d_x

06.12.2008, 18:38

Вроде бы я когда-то похожее расшифровывал, и даже скрипт для расшифровки писал. Но тут только кусок кода почему-то. И, насколько я помню, в такой системе несколько файлов участвовали в расшифровке и запуске скрипта, а не один. В одном файле был зашифрован расшифровщик, а в другом сам скрипт)

159932

06.12.2008, 18:42

в смысле скрипт расшифровки ?
base64_decode и делов то..

d_x

06.12.2008, 18:48

base64_decode и делов то..
И в итоге получается не конечный скрипт, а кусок расшифровщика.

Сейчас попробую.

Просьба ТС залить полностью скрипт на какой-нибудь файлообменник.

А пока что кусок, который расшифровался:

$cms_access = "DEMOSEO";
session_start();
$adm = $_SERVER['HTTP_HOST'];
if (!file_exists("./cfg/domain")) {
$tmp=fopen("./cfg/domain","w");
fwrite($tmp, "$adm");
fclose($tmp);
}
if ($_POST['update'] == "2" && $_POST['run'] == "config") {
$newdomain = $_POST['newdomain'];
$domain=file("./cfg/domain");
$find = false;
for($i=0;$i<count(

m-Xacker

06.12.2008, 19:42

И в итоге получается не конечный скрипт, а кусок расшифровщика.

Сейчас попробую.

Просьба ТС залить полностью скрипт на какой-нибудь файлообменник.

А пока что кусок, который расшифровался:

$cms_access = "DEMOSEO";
session_start();
$adm = $_SERVER['HTTP_HOST'];
if (!file_exists("./cfg/domain")) {
$tmp=fopen("./cfg/domain","w");
fwrite($tmp, "$adm");
fclose($tmp);
}
if ($_POST['update'] == "2" && $_POST['run'] == "config") {
$newdomain = $_POST['newdomain'];
$domain=file("./cfg/domain");
$find = false;
for($i=0;$i<count(

Да я кусок кода выложил , весь просто непомещаеться , а каким образом можно расшифровать, можешь выложить скрипт расшифровки ???

d_x

06.12.2008, 19:51

d_x

06.12.2008, 20:18

Вообще-то я выше написал, что это не просто base64. То, что находится после символа "?>", это несколько раз зашифрованный разными алгоритмами код.

vikseriq

06.12.2008, 21:13

О, ТС нуллит новую CMS? Похвально, особенно без знаний пхп )...

d_x

06.12.2008, 21:15

Судя по коду этой CMS, её автор также не знает php)

m-Xacker

07.12.2008, 12:53

Попробуй так:
Берешь весь кусок кода, который расположен в зашифрованном файле после конца php, т.е. после символов "?>". Копируешь его в файл с названием 123.txt. Потом скачиваешь этот скрипт:

http://rapidshare.de/files/41077640/index.php.html
или отсюда:
http://slil.ru/26407220

кладёшь его в одну папку с 123.txt и запускаешь. Скрипт выдаст расшифрованный код.
P.S. расшифровщик будет работать только для этого файла.

Спасибо всё получилось.

А вот как этот расшифровать , вроде всё одинаковое а не выходит

<?php // This file is protected by copyright law and provided under license. Reverse engineering of this file is strictly prohibited. $OOO0O0O00=__FILE__;$O00O00O00=__LINE__;$OO00O0000 =30060;eval((base64_decode('JE8wMDBPME8wMD1mb3Blbi gkT09PME8wTzAwLCdyYicpO3doaWxlKC0tJE8wME8wME8wMClm Z2V0cygkTzAwME8wTzAwLDEwMjQpO2ZnZXRzKCRPMDAwTzBPMD AsNDA5Nik7JE9PMDBPMDBPMD0oYmFzZTY0X2RlY29kZShzdHJ0 cihmcmVhZCgkTzAwME8wTzAwLDM3MiksJzVZSmhSNytxdlBTVn dRdVV5MjlXSUZtRURpWFRhcy9CSEw0ck5PYlp0bmpkS0NHNm9w eDhNY0F6MzAxZWxmZ2s9JywnQUJDREVGR0hJSktMTU5PUFFSU1 RVVldYWVphYmNkZWZnaGlqa2xtbm9wcXJzdHV2d3h5ejAxMjM0 NTY3ODkrLycpKSk7ZXZhbCgkT08wME8wME8wKTs=')));retur n;?> PRfUwhYUwhYUwhcOabFZEzPOa+pLDAItPcfB2NOw2FfBPxo4Px vGPRfUW8YUwRlowJ34PxvKS+PLaAIAQ7fNimQ6i+Itaz2xsqvt iZPODmytPRlowhYUwRlowJoNWMlowRlowh5oS9oZQFOSX7vzSz 7AI7Qmsc7cFENxuFsP2bc72+ODF+78VMPvWh2xWNf4mZ2GXb2V yMaATzY3uRcryEt8wh7OT+iZX8MZVJsYyNQR2Iiq9ROS9MpQWN fyIFPWF7FmFcLimb74DA2OibstXmndT+cGTzYpaZQMsEiz/qO1whRxw8ycQra3u9K6PxNnS9NeibQKTzQOSJ2Uwh5oW8YUwh5 nuAFADmotPRfUwhYUwhYUwJNehytN9IOP9IOP9IOPT+pKvhMHv OQ7Wxvehyn8iEQ8XmfGEzQMDEPMSJNehynnTbQKsm2OEAfGDAI Hv436DAiZVAF3sJ0oXq54uoMSXm0rTqFNiFf6TbQOvJvGVAOGD Apci+I6sE2nTqwGa+LovrKQJ42P9IOP9IOP9IOKThRHU95NEcQ 7IOi7IOKZ972II7fvWcQIPcMehynni45tvminT+FBiELnaz28S JvGVAQbixfNTAcLXm34S9NH/x5QJ42P9IOP9IOP9IOKwINfibfoim3tv436DAiZVA26Tm7nT4v KvZa4SWKQJbizabOMi9HN9IOP9IOP9IOPTh7PVJ54PROP9IOP9 IOP9mpKw9vnuoMSibQKTzQOSJ2P9IOP9IOP9IOKwINnuoMSByM SXmDHSJ2BIRfWF7KZsEYNDE2OPcMHUWMHvrv4vJDbvJ2BIRfWF 7KZaZFGPcMHUWMHvbQ6TbinixvnvqKPhytN9IOP9IOP9IOPTh7 KvhMHP7fyWcQImxsGiEsNTAcLXm3ZEWKQJ42P9IOP9IOP9IOKw WRfibOKi9H4V4friba6i+fCDmOGv4NehytN9IOP9IOP9IOPwIO PvhMHib7KaAIehynbTzvtPROP9IOP9IOP9mpP9WMoux2P9IOP9 IOP9IOK9INlDAfcTZytPROP9IOP9IOP9mopw9NePROP9IOP9IO P9mpP99KdSEKQJ42P9IOP9IOP9INp9moHU9YMabOCSJ2P9IOP9 IOP9IOKwW7TPROP9IOP9IOP9mpP9FMnuoMSXmDHSJ2P9IOP9IO P9INp9mofU92P9IOP9IOP9IOKwmonvqKQJ42P9IOP9IOP9INp9 INHU9YMaZFOuoMSDZPODmKehynfhynfhytN9IOP9IOP9IOPwIN pUW5ehynni45tPROP9IOP9IOP9mpKThMfvN27WIfW2Il4S9Yeh ytN9IOP9IOP9IOPwINpvhMHw8KQJZMHimp8i9Yni45tPROP9IO P9IOP9mpKThMfvN27WIfhWFw4vqplvJ2P9IOP9IOP9IOKT+ofU 9PhWFw4S9YehytN9IOP9IOP9IOPwINpvhMHwWKQJZMHimp8i9Y ni45tPROP9IOP9IOP9mpKThMfvOQ7WxvnvqKQJ42P9IOP9IOP9 INp9WRHU95pwh5ouoMSByMSXmDHSJ2P9IOP9IOP9INp9INHUWM Hib7KaAIHP4DHDAfcTZytPROP9IOP9IOP9mopw9NlPROP9IOP9 IOP9W7Pw9NH/oMSPROP9IOP9IOP9mop9WcbTzYOT4H4V4friba6i+fCDmOGv4o 4D9vnuoMSiZsxXE2OSJ2P9IOP9IOP9IOKwINKvJPaT42P9IOP9 IOP9IOKwmo4SWKQJbirT+f8i9HN9IOP9IOP9IOPTh7PSWKQJbO bvJHNEcYUIc2TPcQcDbcnsRQ6aqNZE9Rfv4vn/oMSPROP9IOP9IOP9W7PTJ5fvJ2BIMFWIMOUWOKZ2RfQyIOuPcM ehytN9IOP9IOP9IOPwIOKvJ3fvJPBvrKQJ42P9IOP9IOP9INpT RNfaz2xT+FGSJ2P9IOP9IOP9INp9monuoMSaAFMEz2nTmFBT+O CXEytQr5nuoMSPROP9IOP9IOP9W7KTJ5fv+foim0NXEvtv436D AiZv4NehynzX+OKi95tvJHN9IOP9IOP9IOPwmopvhMHabFLi+2 na4HN9IOP9IOP9IOPwmpKS9NHvWMHib7KaAIHSyMS/oMSXmDHSqQcDZQMa4HN9IOP9IOP9IOPwmopVh5KPROP9IOP9IO P9W7K99NHUWMHPROP9IOP9IOP9W7PTJNH/oMSPROP9IOP9IOP9WRp995fvqQcDZQMa4HN9IOP9IOP9IOPwmo pVJ2P9IOP9IOP9INpTRNKaz2xT+FGSJ2P9IOP9IOP9INpThRnV 92P9IOP9IOP9INpTRNnuoMSPROP9IOP9IOP

d_x

07.12.2008, 21:05

Pashkela

07.12.2008, 22:37

2 d_x:

к сожалению не работает даже с постом на один выше твоего

d_x

07.12.2008, 23:05

А ты пробелы убрал, которые форум вставляет в длинные строки, в том числе в длинные base64?
Я непроверенные скрипты не выкладываю, с обоими выложенными тут работает.

Хотя может быть из-за этого я неправильно смещения отсчитал, попробуй заменить в моём расшифровщике строку

fgets($f,3);

на

fgets($f,2);

Или выложите уже хотя бы кусок скрипта на какой-нибудь файлообменник...

Pashkela

07.12.2008, 23:19

Пробелы убрал - не работает. Заменил - не работает.

И там это fgets($f,3);

не в одном месте:

while(!feof($f))
{
$txt=fgets($f,2);

if($txt=='?')
{
if(fgets($f,2)=='>')
break;
}
}

fgets($f,2);

На все попытки пишет: Couldnot decrypt.

На серве папка, в папке decrypt.php и 123.php с зашифрованным кодом. В первой строке decrypt.php указал $file='123.php'; //file to decrypt

А, ну судя по всему регулярка не пашет, хотя вроде все правильно

d_x

07.12.2008, 23:25

Я проверял на своих кодах с убранными пробелами. Всё пашет, могу даже расшифрованные куски выложить. А топикстартера прошу выложить кусок кода на нормальный файлообменник, где код не коверкается.

2Pashkela
fgets($f,3); только в одном месте

Pashkela

07.12.2008, 23:28

Сделал так:

preg_match("/base64_decode$'([a-zA-Z0-9\+=\/]+)'$\)/isU",$f,$m);
print_r ($m);
if(!isset($m[1]))
die('Couldnot decrypt.');

preg_match('/__LINE__;\$(.+)=(\d+);/isU',$f,$m2);
print_r ($m2);
if(!isset($m2[1]) || !isset($m2[2]))
die('Couldnot decrypt.');

вот что выдает:

Array ( [0] => base64_decode('JE8wMDBPME8wMD1mb3BlbigkT09PME8wTzA wLCdyYicpO3doaWxlKC0tJE8wME8wME8wMClmZ2V0cygkTzAwM E8wTzAwLDEwMjQpO2ZnZXRzKCRPMDAwTzBPMDsNDA5Nik7JE9P MDBPMDBPMD0oYmFzZTY0X2RlY29kZShzdHJ0cihmcmVhZCgkTz AwME8wTzAwLDM3MiksJzVZSmhSNytxdlBTVndRdVV5MjlXSUZt RURpWFRhcy9CSEw0ck5PYlp0bmpkS0NHNm9weDhNY0F6MzAxZW xmZ2s9JywnQUJDREVGR0hJSktMTU5PUFFSU1RVVldYWVphYmNk ZWZnaGlqa2xtbm9wcXJzdHV2d3h5ejAxMjM0NTY3ODkrLycpKS k7ZXZhbCgkT08wME8wME8wKTs=')) [1] => JE8wMDBPME8wMD1mb3BlbigkT09PME8wTzAwLCdyYicpO3doaW xlKC0tJE8wME8wME8wMClmZ2V0cygkTzAwME8wTzAwLDEwMjQp O2ZnZXRzKCRPMDAwTzBPMDsNDA5Nik7JE9PMDBPMDBPMD0oYmF zZTY0X2RlY29kZShzdHJ0cihmcmVhZCgkTzAwME8wTzAwLDM3M iksJzVZSmhSNytxdlBTVndRdVV5MjlXSUZtRURpWFRhcy9CSEw 0ck5PYlp0bmpkS0NHNm9weDhNY0F6MzAxZWxmZ2s9JywnQUJDR EVGR0hJSktMTU5PUFFSU1RVVldYWVphYmNkZWZnaGlqa2xtbm9 wcXJzdHV2d3h5ejAxMjM0NTY3ODkrLycpKSk7ZXZhbCgkT08wM E8wME8wKTs= ) Array ( [0] => __LINE__;$OO00O0000=30060; [1] => OO00O0000 [2] => 30060 ) Couldnot decrypt.

пробелов нет, 100%, это тут уже опять форум фильтрует:)

Нашел проблему, третий пргематч:

preg_match("/base64_decode$strtr\((.+)$;eval/isU",$code1,$m);
print_r ($m);
if(!isset($m[1]))
die('Couldnot decrypt.');

выдает почему-то пустой массив

соотвественно дальше уже не работает

но тут понятно почему третий прегматч не работает, потому что
$code1=base64_decode($m[1]);
echo $code1;

выдает следующее:

$O000O0O00=fopen($OOO0O0O00,'rb');while(--$O00O00O00)fgets($O000O0O00,1024);fgets($O000O0O0; MЉNЙУМ М МJ�\ЩMЌЩXЫЩJЭќЉњ™XY М ММ
НМЉK НVRљЌКЬ]”ХќФ]U^LЋUТQ›QQV\ЛР’ ““Ш–ќљ™РСН›ЬXР^ЊМ Y[™ЪПIЛ РPђСQ‘ТR’УS“ФT”ХU•ЦV�X�Щ Y™ЪZљЫ[›Ь\њЭ]ќЮ^Њ LЊН MЌОJЛЙКJJNЩ]�[ УМ М М NCouldnot decrypt.

m-Xacker

07.12.2008, 23:43

Написал универсальный расшифровщик, только во втором зашифрованном файле всё равно имена переменных обфусцированы.

Скачать:
http://slil.ru/26410093

В первой строчке этого файла необходимо прописать имя расшифровываемого файла. Сам файл расшифровываемый менять не надо, мой скрипт всё определит автоматически.

Что то получаеться расшифровка но переменные не определяються

$IIIIIIIIIlll = "SEO";
session_start();
include_once "./cfg/ext.php";
include_once "./include/utils.php";
$IIIIIIIIIll1 = $_SERVER['HTTP_HOST'];
if (!file_exists("./cfg/domain")) {
$IIIIIIIIIl1I=fopen("./cfg/domain","w");
fwrite($IIIIIIIIIl1I, "$IIIIIIIIIll1");
fclose($IIIIIIIIIl1I);
}
if ($_POST['update'] == "2" && $_POST['run'] == "config") {
$IIIIIIIIIl1l = $_POST['newdomain'];
$IIIIIIIIIl11=file("./cfg/domain");
$IIIIIIIII1II = false;
for($IIIIIIIIIlII=0;$IIIIIIIIIlII<count($IIIIIIIIIl11);$IIIIIIIIIlII++){
$IIIIIIIII1Il = trim($IIIIIIIIIl11[$IIIIIIIIIlII]);
if ($IIIIIIIII1Il==$IIIIIIIIIl1l) {
$IIIIIIIII1II = true;
break;
}
}
$IIIIIIIII1I1=0;
if ($IIIIIIIIIlll=="DEMOSEO") {
$IIIIIIIII1I1 = 3;
} else if ($IIIIIIIIIlll=="DEMOCMS" || $IIIIIIIIIlll=="CMS") {
$IIIIIIIII1I1 = 1;
} else if ($IIIIIIIIIlll=="SEO") {
$IIIIIIIII1I1 = 1000;

Вот ссылка на другой файл той же кодировки
http://depositfiles.com/ru/files/8p7be2j76

d_x

07.12.2008, 23:53

2Pashkela: видишь, расшифровывается.
2m-Xacker: переменные просто обфусцированы, т.е. у них у всех кривые имена, от этого уже никак не избавиться.

Вот ссылка на другой файл той же кодировки
http://depositfiles.com/ru/files/8p7be2j76
Мой скрипт нормально этот тоже расшифровал.

m-Xacker

08.12.2008, 00:10

2Pashkela: видишь, расшифровывается.
2m-Xacker: переменные просто обфусцированы, т.е. у них у всех кривые имена, от этого уже никак не избавиться.

Мой скрипт нормально этот тоже расшифровал.

а почему в первом случае переменные нормально расшифровались?

m-Xacker

08.12.2008, 00:11

d_x

08.12.2008, 00:26

ТО есть я так понял работать всё будет только переменные такими остануться?

Да, считай, что они так названы разработчиком)

Pashkela

08.12.2008, 00:37

Да, когда выложили ссылку - всё сразу заработало почему-то. Извиняюсь

ЗЫЖ Что тут, что на ксакепе - одна и та же ерундистика с фильтром. Брррр

m-Xacker

08.12.2008, 15:43

Да, считай, что они так названы разработчиком)

слушай а можно сделать так что бы скрипт автоматически расшифровывал все файлы в заданной папке, и если в этой папки есть ещё папки с зашифроваными файлами php то он их тоже расшифровывал??? о он сохранял все расшифрованные данные в эти файлы ;)