ANTICHAT - Расшифровать base64

ANTICHAT (https://forum.antichat.xyz/index.php)

- PHP (https://forum.antichat.xyz/forumdisplay.php?f=37)

- - Расшифровать base64_decode (https://forum.antichat.xyz/showthread.php?t=95075)

Цитата:

Сообщение от d_x

Попробуй так:
Берешь весь кусок кода, который расположен в зашифрованном файле после конца php, т.е. после символов "?>". Копируешь его в файл с названием 123.txt. Потом скачиваешь этот скрипт:

http://rapidshare.de/files/41077640/index.php.html
или отсюда:
http://slil.ru/26407220

кладёшь его в одну папку с 123.txt и запускаешь. Скрипт выдаст расшифрованный код.
P.S. расшифровщик будет работать только для этого файла.

Спасибо всё получилось.

А вот как этот расшифровать , вроде всё одинаковое а не выходит

Цитата:

<?php // This file is protected by copyright law and provided under license. Reverse engineering of this file is strictly prohibited. $OOO0O0O00=__FILE__;$O00O00O00=__LINE__;$OO00O0000 =30060;eval((base64_decode('JE8wMDBPME8wMD1mb3Blbi gkT09PME8wTzAwLCdyYicpO3doaWxlKC0tJE8wME8wME8wMClm Z2V0cygkTzAwME8wTzAwLDEwMjQpO2ZnZXRzKCRPMDAwTzBPMD AsNDA5Nik7JE9PMDBPMDBPMD0oYmFzZTY0X2RlY29kZShzdHJ0 cihmcmVhZCgkTzAwME8wTzAwLDM3MiksJzVZSmhSNytxdlBTVn dRdVV5MjlXSUZtRURpWFRhcy9CSEw0ck5PYlp0bmpkS0NHNm9w eDhNY0F6MzAxZWxmZ2s9JywnQUJDREVGR0hJSktMTU5PUFFSU1 RVVldYWVphYmNkZWZnaGlqa2xtbm9wcXJzdHV2d3h5ejAxMjM0 NTY3ODkrLycpKSk7ZXZhbCgkT08wME8wME8wKTs=')));retur n;?> PRfUwhYUwhYUwhcOabFZEzPOa+pLDAItPcfB2NOw2FfBPxo4Px vGPRfUW8YUwRlowJ34PxvKS+PLaAIAQ7fNimQ6i+Itaz2xsqvt iZPODmytPRlowhYUwRlowJoNWMlowRlowh5oS9oZQFOSX7vzSz 7AI7Qmsc7cFENxuFsP2bc72+ODF+78VMPvWh2xWNf4mZ2GXb2V yMaATzY3uRcryEt8wh7OT+iZX8MZVJsYyNQR2Iiq9ROS9MpQWN fyIFPWF7FmFcLimb74DA2OibstXmndT+cGTzYpaZQMsEiz/qO1whRxw8ycQra3u9K6PxNnS9NeibQKTzQOSJ2Uwh5oW8YUwh5 nuAFADmotPRfUwhYUwhYUwJNehytN9IOP9IOP9IOPT+pKvhMHv OQ7Wxvehyn8iEQ8XmfGEzQMDEPMSJNehynnTbQKsm2OEAfGDAI Hv436DAiZVAF3sJ0oXq54uoMSXm0rTqFNiFf6TbQOvJvGVAOGD Apci+I6sE2nTqwGa+LovrKQJ42P9IOP9IOP9IOKThRHU95NEcQ 7IOi7IOKZ972II7fvWcQIPcMehynni45tvminT+FBiELnaz28S JvGVAQbixfNTAcLXm34S9NH/x5QJ42P9IOP9IOP9IOKwINfibfoim3tv436DAiZVA26Tm7nT4v KvZa4SWKQJbizabOMi9HN9IOP9IOP9IOPTh7PVJ54PROP9IOP9 IOP9mpKw9vnuoMSibQKTzQOSJ2P9IOP9IOP9IOKwINnuoMSByM SXmDHSJ2BIRfWF7KZsEYNDE2OPcMHUWMHvrv4vJDbvJ2BIRfWF 7KZaZFGPcMHUWMHvbQ6TbinixvnvqKPhytN9IOP9IOP9IOPTh7 KvhMHP7fyWcQImxsGiEsNTAcLXm3ZEWKQJ42P9IOP9IOP9IOKw WRfibOKi9H4V4friba6i+fCDmOGv4NehytN9IOP9IOP9IOPwIO PvhMHib7KaAIehynbTzvtPROP9IOP9IOP9mpP9WMoux2P9IOP9 IOP9IOK9INlDAfcTZytPROP9IOP9IOP9mopw9NePROP9IOP9IO P9mpP99KdSEKQJ42P9IOP9IOP9INp9moHU9YMabOCSJ2P9IOP9 IOP9IOKwW7TPROP9IOP9IOP9mpP9FMnuoMSXmDHSJ2P9IOP9IO P9INp9mofU92P9IOP9IOP9IOKwmonvqKQJ42P9IOP9IOP9INp9 INHU9YMaZFOuoMSDZPODmKehynfhynfhytN9IOP9IOP9IOPwIN pUW5ehynni45tPROP9IOP9IOP9mpKThMfvN27WIfW2Il4S9Yeh ytN9IOP9IOP9IOPwINpvhMHw8KQJZMHimp8i9Yni45tPROP9IO P9IOP9mpKThMfvN27WIfhWFw4vqplvJ2P9IOP9IOP9IOKT+ofU 9PhWFw4S9YehytN9IOP9IOP9IOPwINpvhMHwWKQJZMHimp8i9Y ni45tPROP9IOP9IOP9mpKThMfvOQ7WxvnvqKQJ42P9IOP9IOP9 INp9WRHU95pwh5ouoMSByMSXmDHSJ2P9IOP9IOP9INp9INHUWM Hib7KaAIHP4DHDAfcTZytPROP9IOP9IOP9mopw9NlPROP9IOP9 IOP9W7Pw9NH/oMSPROP9IOP9IOP9mop9WcbTzYOT4H4V4friba6i+fCDmOGv4o 4D9vnuoMSiZsxXE2OSJ2P9IOP9IOP9IOKwINKvJPaT42P9IOP9 IOP9IOKwmo4SWKQJbirT+f8i9HN9IOP9IOP9IOPTh7PSWKQJbO bvJHNEcYUIc2TPcQcDbcnsRQ6aqNZE9Rfv4vn/oMSPROP9IOP9IOP9W7PTJ5fvJ2BIMFWIMOUWOKZ2RfQyIOuPcM ehytN9IOP9IOP9IOPwIOKvJ3fvJPBvrKQJ42P9IOP9IOP9INpT RNfaz2xT+FGSJ2P9IOP9IOP9INp9monuoMSaAFMEz2nTmFBT+O CXEytQr5nuoMSPROP9IOP9IOP9W7KTJ5fv+foim0NXEvtv436D AiZv4NehynzX+OKi95tvJHN9IOP9IOP9IOPwmopvhMHabFLi+2 na4HN9IOP9IOP9IOPwmpKS9NHvWMHib7KaAIHSyMS/oMSXmDHSqQcDZQMa4HN9IOP9IOP9IOPwmopVh5KPROP9IOP9IO P9W7K99NHUWMHPROP9IOP9IOP9W7PTJNH/oMSPROP9IOP9IOP9WRp995fvqQcDZQMa4HN9IOP9IOP9IOPwmo pVJ2P9IOP9IOP9INpTRNKaz2xT+FGSJ2P9IOP9IOP9INpThRnV 92P9IOP9IOP9INpTRNnuoMSPROP9IOP9IOP

Написал универсальный расшифровщик, только во втором зашифрованном файле всё равно имена переменных обфусцированы.

Скачать:
http://slil.ru/26410093

В первой строчке этого файла необходимо прописать имя расшифровываемого файла. Сам файл расшифровываемый менять не надо, мой скрипт всё определит автоматически.

2 d_x:

к сожалению не работает даже с постом на один выше твоего

А ты пробелы убрал, которые форум вставляет в длинные строки, в том числе в длинные base64?
Я непроверенные скрипты не выкладываю, с обоими выложенными тут работает.

Хотя может быть из-за этого я неправильно смещения отсчитал, попробуй заменить в моём расшифровщике строку

fgets($f,3);

на

fgets($f,2);

Или выложите уже хотя бы кусок скрипта на какой-нибудь файлообменник...

Пробелы убрал - не работает. Заменил - не работает.

И там это fgets($f,3);

не в одном месте:

while(!feof($f))
{
$txt=fgets($f,2);

if($txt=='?')
{
if(fgets($f,2)=='>')
break;
}
}

fgets($f,2);

На все попытки пишет: Couldnot decrypt.

На серве папка, в папке decrypt.php и 123.php с зашифрованным кодом. В первой строке decrypt.php указал $file='123.php'; //file to decrypt

А, ну судя по всему регулярка не пашет, хотя вроде все правильно

Я проверял на своих кодах с убранными пробелами. Всё пашет, могу даже расшифрованные куски выложить. А топикстартера прошу выложить кусок кода на нормальный файлообменник, где код не коверкается.

2Pashkela
fgets($f,3); только в одном месте

Сделал так:

PHP код:


		
			
preg_match("/base64_decode\('([a-zA-Z0-9\+=\/]+)'\)\)/isU",$f,$m);

print_r ($m);

if(!isset($m[1]))

  die('Couldnot decrypt.');



preg_match('/__LINE__;\$(.+)=(\d+);/isU',$f,$m2);

print_r ($m2);

if(!isset($m2[1]) || !isset($m2[2]))

  die('Couldnot decrypt.');

вот что выдает:

PHP код:


		
			
Array ( [0] => base64_decode('JE8wMDBPME8wMD1mb3BlbigkT09PME8wTzAwLCdyYicpO3doaWxlKC0tJE8wME8wME8wMClmZ2V0cygkTzAwME8wTzAwLDEwMjQpO2ZnZXRzKCRPMDAwTzBPMDsNDA5Nik7JE9PMDBPMDBPMD0oYmFzZTY0X2RlY29kZShzdHJ0cihmcmVhZCgkTzAwME8wTzAwLDM3MiksJzVZSmhSNytxdlBTVndRdVV5MjlXSUZtRURpWFRhcy9CSEw0ck5PYlp0bmpkS0NHNm9weDhNY0F6MzAxZWxmZ2s9JywnQUJDREVGR0hJSktMTU5PUFFSU1RVVldYWVphYmNkZWZnaGlqa2xtbm9wcXJzdHV2d3h5ejAxMjM0NTY3ODkrLycpKSk7ZXZhbCgkT08wME8wME8wKTs=')) [1] => JE8wMDBPME8wMD1mb3BlbigkT09PME8wTzAwLCdyYicpO3doaWxlKC0tJE8wME8wME8wMClmZ2V0cygkTzAwME8wTzAwLDEwMjQpO2ZnZXRzKCRPMDAwTzBPMDsNDA5Nik7JE9PMDBPMDBPMD0oYmFzZTY0X2RlY29kZShzdHJ0cihmcmVhZCgkTzAwME8wTzAwLDM3MiksJzVZSmhSNytxdlBTVndRdVV5MjlXSUZtRURpWFRhcy9CSEw0ck5PYlp0bmpkS0NHNm9weDhNY0F6MzAxZWxmZ2s9JywnQUJDREVGR0hJSktMTU5PUFFSU1RVVldYWVphYmNkZWZnaGlqa2xtbm9wcXJzdHV2d3h5ejAxMjM0NTY3ODkrLycpKSk7ZXZhbCgkT08wME8wME8wKTs= ) Array ( [0] => __LINE__;$OO00O0000=30060; [1] => OO00O0000 [2] => 30060 ) Couldnot decrypt.

пробелов нет, 100%, это тут уже опять форум фильтрует:)

Нашел проблему, третий пргематч:

preg_match("/base64_decode$strtr\((.+)$;eval/isU",$code1,$m);
print_r ($m);
if(!isset($m[1]))
die('Couldnot decrypt.');

выдает почему-то пустой массив

соотвественно дальше уже не работает

но тут понятно почему третий прегматч не работает, потому что
$code1=base64_decode($m[1]);
echo $code1;

выдает следующее:

$O000O0O00=fopen($OOO0O0O00,'rb');while(--$O00O00O00)fgets($O000O0O00,1024);fgets($O000O0O0; MЉNЙУМ М МJ�\ЩMЌЩXЫЩJЭќЉњ™XY М ММ
НМЉK НVRљЌКЬ]”ХќФ]U^LЋUТQ›QQV\ЛР’ ““Ш–ќљ™РСН›ЬXР^ЊМ Y[™ЪПIЛ РPђСQ‘ТR’УS“ФT”ХU•ЦV�X�Щ Y™ЪZљЫ[›Ь\њЭ]ќЮ^Њ LЊН MЌОJЛЙКJJNЩ]�[ УМ М М NCouldnot decrypt.

Цитата:

Сообщение от d_x

Что то получаеться расшифровка но переменные не определяються

Цитата:

$IIIIIIIIIlll = "SEO";
session_start();
include_once "./cfg/ext.php";
include_once "./include/utils.php";
$IIIIIIIIIll1 = $_SERVER['HTTP_HOST'];
if (!file_exists("./cfg/domain")) {
$IIIIIIIIIl1I=fopen("./cfg/domain","w");
fwrite($IIIIIIIIIl1I, "$IIIIIIIIIll1");
fclose($IIIIIIIIIl1I);
}
if ($_POST['update'] == "2" && $_POST['run'] == "config") {
$IIIIIIIIIl1l = $_POST['newdomain'];
$IIIIIIIIIl11=file("./cfg/domain");
$IIIIIIIII1II = false;
for($IIIIIIIIIlII=0;$IIIIIIIIIlII<count($IIIIIIIII l11);$IIIIIIIIIlII++){
$IIIIIIIII1Il = trim($IIIIIIIIIl11[$IIIIIIIIIlII]);
if ($IIIIIIIII1Il==$IIIIIIIIIl1l) {
$IIIIIIIII1II = true;
break;
}
}
$IIIIIIIII1I1=0;
if ($IIIIIIIIIlll=="DEMOSEO") {
$IIIIIIIII1I1 = 3;
} else if ($IIIIIIIIIlll=="DEMOCMS" || $IIIIIIIIIlll=="CMS") {
$IIIIIIIII1I1 = 1;
} else if ($IIIIIIIIIlll=="SEO") {
$IIIIIIIII1I1 = 1000;

Вот ссылка на другой файл той же кодировки
http://depositfiles.com/ru/files/8p7be2j76

2Pashkela: видишь, расшифровывается.
2m-Xacker: переменные просто обфусцированы, т.е. у них у всех кривые имена, от этого уже никак не избавиться.

Цитата:

Вот ссылка на другой файл той же кодировки
http://depositfiles.com/ru/files/8p7be2j76

Мой скрипт нормально этот тоже расшифровал.

Цитата:

Сообщение от d_x

2Pashkela: видишь, расшифровывается.
2m-Xacker: переменные просто обфусцированы, т.е. у них у всех кривые имена, от этого уже никак не избавиться.

Мой скрипт нормально этот тоже расшифровал.

а почему в первом случае переменные нормально расшифровались?