PHPの難読化に
挑んだ話

@shaka0maru
アライドアーキテクツ/ReFUEL4
PHPer歴5年半

PHPのワンライナーコードの話をします

何のコード？

攻撃を受けて
不正に上書きされたコード

某所で動かしていたJoomla(CMS)とPHP
の脆弱性をつかれて埋め込まれたもの

詳細は
「徳丸浩の日記」
Joomla!の「ゼロデイコード実行脆弱性」
はPHPの既知の脆弱性が原因
http://blog.tokumaru.org/2015/12/joomla-zero-day-attack-
caused-by-php.html

読めないとはいえ、何をして
いるか把握しないといけない

同じ境遇の人のために
実際に行った方法を共有

とりあえずリフォーマット

方針1
• 変数名をそれっぽく
• chrを文字に直す
• 数式は計算しておく
• if(function_exists(…)) 邪魔

方針2
• よく分からない変数はvar_dumpする
• どうせ外部に通信してるのでオフラインで実行
するなり、exitする

array(3) {
[0] =>
string(6) "sTrREv"
[1] =>
string(15) "NoiTCnuf_EtaerC"
[2] =>
string(11) "ECalPer_Rts"
}

分からない

array(3) {
[0] =>
string(6) "sTrREv"
[1] =>
string(15) "NoiTCnuf_EtaerC"
[2] =>
string(11) "ECalPer_Rts"
}

array(3) {
[0] =>
string(6) "strrev"
[1] =>
string(15) "noitcnuf_etaerc"
[2] =>
string(11) "ecalper_rts"
}

array(3) {
[0] =>
string(6) "strrev"
[1] =>
string(15) "noitcnuf_etaerc"
[2] =>
string(11) "ecalper_rts"
}

array(3) {
[0] =>
string(6) "strrev"
[1] =>
string(15) "noitcnuf_etaerc"
[2] =>
string(11) "ecalper_rts"
}

array(3) {
[1] =>
string(15) create_function"
[2] =>
string(11) str_replace"
}

置き換える

チョットヨメル

文字列からある順番で文字を取得
\tを\に置換する
数値の配列と
の文字列

読めない

function_exists("\x6f\142\x5f\163\x74\141\x72\164")

function_exists("\x6f\142\x5f\163\x74\141\x72\164")
HexとOctの組み合わせ

function_exists("\x6f\142\x5f\163\x74\141\x72\164")
o
b
…

そう、PHPならね

読めない

方針3
• とにかくevalとcreate_functionの即時実行が多
い
• 実行しないように関数の内容をコピペして少しず
つデバッグしていく

補足
• create_functionって即時実行できたっけ？

補足
• create_function の 第２引数は
• }; … //
• で囲むと即時実行される

補足
• 今後の人生でcreate_functionを使うことは無い
と断言できるので理由は調べていません

読ませない
意地でもデータを取得する
ための熱意が凄い

まとめ

何だったの？
• 外部のドメインに対して、
• file_get_contents
• curl
• file
• socket
• を順番に使ってアクセスしてきたユーザの情報を
取得

何だったの？
• $_SERVER
• HTTP_USER_AGENT
• HTTP_REFERER
• REMOTE_ADDR
• HTTP_HOST
• PHP_SELF
• この辺をbase64したりして外部サーバにGETリ
クエストとして送信する

何だったの？
• 送信先は4つくらいのサーバからランダムで選択
される
• サーバがなんらかのコンテンツを返してきて描
画する処理が入っていたが何も返してこなかっ
たので不明

$domarr のドメインに
送信してそうですが、ダミーです

まとめ
• アプリ、PHPのバージョンを上げておけば回避
できます
• セキュリティに気をつけようね！

まとめ2
こんなのでも動くPHPヤバい！