一个 DiscuzX 插件 keke_xzhseo.class.php

我没自己用过魔方加密，不知道这种到底是一代还是二代，如果就加密强度来说，这个帖子的样本不如上一个帖子的强度高。这个样本的代码是可以完全复原的，而 上一个帖子 的样本不能完全复原，最后只能推导出 $v0 $v1 这类局部变量名，所有的函数也都无法还原参数名。

如果看网上的说明，本文的样本应该是二代加密，就我开源过程中的理解，这种加密方式较为简单，使用者不需要改动什么源代码，但缺点就是相对地“容易”被开源，而且文件体积很大，大量的 eval 会导致运行效率极低。

参考之前的帖子PHP加密中的“VMProtect”——魔方加密反编译分析过程

大致浏览一下文件内容，可以看到 KIVIUQ VIRTUAL MACHINE ERROR : Access violation at address （KIVIUQ虚拟机错误：在xxx地址处读取错误）这个东西，可以确定是魔方加密了。

魔方加密是一种基于虚拟机的加密，他将原本函数调用、运算符等操作，拆分成参数压栈、执行指令、结果出栈这种步骤，所以“解密”是不可能，只能通过反编译的方式尝试还原代码。

2018 年 03 月 01 日 nikic/php-parser 为了发展 PHP 7 更新了 4.0 版本，所以 format.php 的部分代码与前面的帖子相比有所更改。有兴趣的同学可以研究我的代码是怎么写的，没兴趣的就看看就好了。

大致浏览一下这段代码，通过分析可以知道，各个变量的含义，虚拟机的运行流程。

运行结束后，从虚拟机环境 $v0 中依次弹出 $v5 $v4 $v3 $v2 $v1。

这里提到一个词——“二级指令”，这个词是我随便起的，就是上述的十几个指令是在虚拟机运行环境的代码中直接显式给出的，所以称为“一级指令”，而二级指令就是指，解析出一个字符串然后再调用 eval 来执行的指令。

分析完虚拟机的逻辑之后，我们发现，不能像上一篇文章中的方法，直接分析每一条虚拟机指令，反编译出代码。我们必须跟随虚拟机的运行，然后把每一条二级指令也还原出来，然后才能分析。

我们可以改造一下这个虚拟机，在每一条指令执行时，输出他们做了什么事，以及他们的指令地址。

注意，我们需要用到 xdebug 来调试 php 程序，同时，最好选择一个 IDE 来辅助调试（我用的是 PHPStorm）。

代码在执行过程中，我们需要利用调试器，视情况调整一下环境：

改造虚拟机的过程

改成

然后在 if ($is_eval) { 这句下断点，每次执行到这里，如果想跳过本条语句的话，就 $is_eval = false;

可以大致感觉到执行一条语句的大致过程是：

反汇编，就是脱离运行环境，分析机器指令。照着虚拟机的逻辑改就行了。

内存越界是因为我是按顺序反汇编一级指令，然后编码解密二级指令，没有实际运行二级指令，所以不知道程序什么时候终止（就是还不知道 $v5=-1; 是什么）。其实就是代码没了，强行终止了。不用管这个。

上面这段指令，对应的代码其实就是

只是像这样简单地反汇编还不行，我们必须把每一条二级指令的代码都想办法拆分成指令+数据的形式，然后才能供反编译使用。

这里列举一些简单的二级指令（指令集可能不止这些）。

由于指令较多（共有数十种），具体指令集请参考成品代码。

结果像下面这样

你可以看到这里多出了许多指令，比如 global, 调用函数, 取非, 条件跳转, 无条件跳转，这些指令就是解析之后的二级指令。

现在我们反汇编之后的结果是“线性的”了，可以被反编译了。

你或许以为上面得到的反汇编指令是很容易的，其实不是这样的，这些指令中有一些“花指令”，就像下面这样。

这里的 00000282 - 00000288 之间的指令没法执行，由于指令长短不一样，这段花指令打乱了原本解析过程，所以必须要用较高级的方法。

简而言之，这就是一个深度优先搜索（DFS）。

通过这一步骤，我们真正把所有有用的指令提取出来了，没用的指令直接抛弃了，已经真正脱离了虚拟机了，我们得到的可以称之为更为通用的字节码了。

顺序的指令都很好解析，也很好反编译，分支结构是比较麻烦的，最麻烦的就是循环结构。为了方便之后分析程序流程，这里可以先把“线性”的反汇编程序转换为无序的“向量图”。

我采用的方法也是比较好理解的：

如果用流程图可视化地表示一下，大概就是这样的。

分块之后由于没有了块内跳转，所以我们不再需要每一条指令的地址了，我们只需要给每个分块一个独立的 id 即可。同时也没有了“跳转”这种说法了，无条件跳转变成了连续的指令了，条件跳转变成了分支（或者循环）了。

用过 IDA 或 x64dbg 的同学可能对这种图比较熟悉了。

前面说了，反编译线性的指令很简单，条件分支和循环比较复杂，复杂就因为他们的流程有分支、有层次结构，不能使用循环来解决，需要使用递归才比较方便。

在我尝试反编译的时候，个人感觉各种指令的反编译，最简单的就是线性代码了，其次就是单分支结构 if，然后就是循环 while、for 等，最麻烦的就是 break 和 continue 了。

我采用的方案如下：

说了半天就是使用 BFS（广度优先搜索）分析语法分支

最开始，反汇编、指令分块与分析流程这几步是同时进行的，直接采用 BFS 来反汇编、分块、构造 if 和 while 结构。后来感觉代码越写越复杂，分析了一下每个步骤可以独立开来，就使用 DFS 反汇编（因为 DFS 代码比 BFS 简单），然后简单地根据跳转分块并优化，最后使用 BFS 分析流程。这样感觉的确清晰了不少。

举个例子

我们解析的结果应该是

再举个例子

解析得到

经过我们不懈的努力，上文的第一段反汇编程序（就是这段 if (!defined('IN_DISCUZ')) { exit('Access Denied'); }），分块结果如下

普通的反编译，原理很简单，指令对栈做了什么操作，我们也就同样根据他的操作构造抽象语法树（AST），构建 AST 正好是编译的逆过程。

由于魔方1代加密是一种仅基于栈的指令集，没有寄存器的存在，反编译算法会变得简单。

比如刚才那段指令，构建 AST 用的栈的内容变化就是这样的

这样就还原出来了这段指令对应的源码。

实践中，你可能会发现，这种方法看上去很简单，但是也是存在一些问题的。比如，如何区分表达式 Expression 和语句 Statement，有些表达式会影响运行环境，而他们运行完不会返回运行结果给栈（或者运行结果被抛弃），如果这时下一条语句是“出栈”的话，将在 AST 中出现一个单独的表达式。在 PHP 中表达式是不能充当语句的，他后面必须有一个分号才可以构成一个语句，我们必须得想想方法。

最后我想到一个好办法，把所有已经被使用过的表达式添加一个 used 属性，每当一个表达式被丢弃的时候（出栈或者解除引用都会使表达式从栈中被移除），如果这个表达式没有被使用过，则使用这个表达式构建一条语句，放到 AST 中。如果出栈的本来就是语句，那就直接放到 AST 中就行了，不需要其他处理。

If statement, Logical Short-Circuit, Ternary 这三个东西都可以通过条件跳转来表示，只不过三个东西对栈的操作不同

if 语句会在判断之后就直接抛弃判断条件，stmts 块和 else 块都会紧跟一个出栈，最终的栈会比执行之前少一层（把判断条件出栈了）。

逻辑短路，通常是“逻辑或”短路，stmts 块为空，else 块都会紧跟一个出栈，但随后还会再压入一个值，最终的栈和执行之前平衡。

如果和上面的情况相反，else 块为空，则是“逻辑与”短路。

三元运算符算是前面两个的结合体，stmts 块和 else 块都会紧跟一个出栈，两个块随后都还会再压入一个值，最终的栈和执行之前平衡。

我们可以通过判断 stmts 块和 else 块来区分三者，也可以通过最终的栈和之前的栈进行对比来区分。（我选择了第二种，容错性高，而且出现意外错误可以抛出异常）

等价转换一下

想要全自动解析整个文件，偷懒是不行的，必须得把每一种指令都匹配出来，然后再手动写好每一种指令的构造 AST 的代码。

汇编语言

自动反编译结果

手动反编译结果

可以看出来，还是有一定差距的，某些问题还是出在循环语句上。

一个变量在被引用的时候是可以被赋值的，解除引用之后只能在赋值号右边，是只读的，不能更改原来的变量，也不能作为引用参数传给函数。

这段代码，正常来说，反编译结果会是

但实际上，应该是

这个虚拟机在栈中出现逆序赋值是很奇怪的，虚拟机代码是 $stack[$esp] = $stack[$esp - 1]; 用下层栈的内容改写上层栈，这个不符合先入先出原则。尽管这个写法很别扭，但是既然别人已经做出来了，我们就要想办法弥补。我采用的方法是“引用计数”，这是一种垃圾回收的方式，我们在最后一次这个变量从栈中消失的时候，把表达式从栈中移动到 AST 中并转换为语句。

化简为

化简为

化简为

化简为

这里的原理暂时还没有讲完

之后可能会做一个在线解析

程序代码有兴趣的可以在 GitHub 上自行搜索 mfenc-decompiler

目前不保证反编译结果的正确性，仅供参考。

反汇编和结构化之后的汇编指令应该没什么问题。

examples.zip (502.26 KB, 下载次数: 30)

附件中不包含反编译器！不包含反编译器！需要代码自行到 GitHub 搜索

包含：