Chinaunix

标题: 用shc加密shell或其他脚本解析程序. [打印本页]

---

作者: ZealeS    时间: 2006-01-19 11:33
标题: 用shc加密shell或其他脚本解析程序.
随便google或百度一下shc, 都可以找到很多下载的.
安装很简单, 可能有些系统要改一下makefile, 当然需要gcc或cc.
编译的结果就是根据里面的C程序产生一个shc的可执行程序. 随便拷到系统目录可以用了.

shc的原理是先将你的程序转化成标准C程序, 在一些老Unix上可能要改点东西.
我在Solaris, HP-unix下用发现有不同, 可能有些系统头文件中没有PTRACE_ATTACH只要把shc翻译后的C程序里面的这个变量替换为0就行, 然后在手动gcc yourscrip就行.

shc会对脚本进行分析产生对应sh命令的一些宏地址, 然后再将C程序编译成二进制的可执行文件. 相信很少人能看懂哪些宏代表什么, 个人认为是比较使用的, 当然原程序要保存好.

不过每次改sh程序后必须执行shc来产生执行文件.

下面是我的一个例子.

1. 
   
2. [zec#/usr1/zec/bin]: cat a.sh
   
3. #!/bin/ksh
   
4. 
   
5. echo mypid is $$
   
6. echo today is $(date)
   
7. awk 'BEGIN{print "hello world"}'
   
8. [zec#/usr1/zec/bin]: sh a.sh
   
9. mypid is 22316
   
10. today is Thu, Jan 19, 2006 11:10:12 AM
    
11. hello world
    
12. [zec#/usr1/zec/bin]: shc -r -f a.sh
    
13. ####这个时侯shc程序会翻译成a.sh.x.c并通过gcc/cc编译成一个a.sh.x.exe
    
14. ####如果你的gcc/cc编译这个.x.c文件出错, 一般都是ptrace(PTRACE_ATTACH, pid, 0, 0);
    
15. ####这个函数的问题, 把PTRACE_ATTACH替换为0, 有些系统可能参数不够要增加一两个0在后面. ptrace(PTRACE_ATTACH, pid, 0, 0, 0, 0);
    
16. ####然后在手动gcc a.sh.x.c就okay拉.
    
17. [zec#/usr1/zec/bin]: cat a.sh.x.c
    
18. #if 0
    
19.         shc Version 3.8, Generic Script Compiler
    
20.         Copyright (c) 1994-2004 Francisco Rosales <frosal@fi.upm.es>
    
21. 
    
22.         shc -r -f a.sh
    
23. #endif
    
24. 
    
25. static  char data [] =
    
26. #define      msg2_z     19
    
27. #define      msg2       ((&data[3]))
    
28.         "\022\224\115\321\302\126\016\131\044\366\370\166\032\000\074\245"
    
29.         "\272\074\254\146\111\107\116\360\254\035"
    
30. #define      chk2_z     19
    
31. #define      chk2       ((&data[30]))
    
32.         "\172\251\262\030\340\356\056\211\175\251\350\135\154\104\267\131"
    
33.         "\244\352\327\226\001\075\157"
    
34. #define      tst1_z     22
    
35. #define      tst1       ((&data[51]))
    
36.         "\106\053\237\301\117\002\102\011\161\027\035\275\005\243\137\262"
    
37.         "\214\226\373\214\056\322\026\157\256\052"
    
38. #define      rlax_z     1
    
39. #define      rlax       ((&data[75]))
    
40.         "\353"
    
41. #define      pswd_z     256
    
42. #define      pswd       ((&data[80]))
    
43.         "\164\020\143\353\054\376\061\236\304\260\250\223\171\305\137\040"
    
44.         "\127\003\177\252\343\374\262\024\174\213\111\043\135\062\254\173"
    
45.         "\004\354\254\031\144\042\350\164\257\302\271\346\025\276\341\272"
    
46.         "\141\044\160\201\236\047\040\347\325\014\230\303\015\217\312\246"
    
47.         "\217\234\370\202\217\344\176\310\121\103\363\220\365\153\263\050"
    
48.         "\317\314\205\234\257\071\121\211\331\074\235\360\035\212\314\062"
    
49.         "\335\241\327\011\106\364\176\217\312\257\227\052\345\177\203\225"
    
50.         "\123\123\204\242\333\242\331\022\223\020\146\032\010\020\355\345"
    
51.         "\013\116\135\265\200\175\206\377\016\170\177\003\017\041\027\133"
    
52.         "\174\011\316\361\102\105\137\321\346\170\232\164\245\211\173\267"
    
53.         "\025\362\067\074\204\043\114\174\357\007\034\045\371\367\113\024"
    
54.         "\254\072\131\235\134\206\251\107\213\131\165\336\036\321\341\334"
    
55.         "\313\316\251\020\370\002\240\253\015\302\172\116\166\024\023\220"
    
56.         "\037\042\267\165\371\071\220\063\024\222\316\364\375\072\236\276"
    
57.         "\324\040\215\136\326\257\147\142\356\071\367\273\017\175\324\354"
    
58.         "\377\015\074\261\006\213\357\372\021\011\031\230\114\000\256\036"
    
59.         "\126\005\160\062\027\110\132\073\023\065\337\347\024\100\076\334"
    
60.         "\024\175\351\146\156\204\010\036\103\263\125\116\026\305\144\203"
    
61.         "\345\106\336\204\231\341\370\141\103\335\147\334"
    
62. #define      text_z     85
    
63. #define      text       ((&data[396]))
    
64.         "\320\257\311\257\354\040\054\221\135\302\144\131\266\336\255\207"
    
65.         "\264\032\105\126\377\305\055\346\377\106\026\173\360\303\362\023"
    
66.         "\247\127\017\322\371\266\044\114\240\357\012\147\200\306\045\151"
    
67.         "\177\277\017\163\351\072\215\145\253\323\151\017\061\064\262\371"
    
68.         "\230\075\160\045\322\053\044\265\100\271\245\256\124\335\352\225"
    
69.         "\010\312\222\364\075\162\146\046\354\272\230\202\317\344\063\143"
    
70.         "\310\057\355\110\047\351\102\063\156\071\100\026\154\025\157\124"
    
71.         "\264"
    
72. #define      tst2_z     19
    
73. #define      tst2       ((&data[492]))
    
74.         "\011\276\306\311\166\013\114\152\236\045\325\204\027\073\142\150"
    
75.         "\264\326\076\305\333\335"
    
76. #define      opts_z     1
    
77. #define      opts       ((&data[511]))
    
78.         "\173"
    
79. #define      msg1_z     42
    
80. #define      msg1       ((&data[519]))
    
81.         "\145\357\240\071\350\302\117\050\302\364\151\223\330\317\227\013"
    
82.         "\236\046\324\344\313\014\242\220\070\167\111\373\121\043\106\150"
    
83.         "\227\260\307\173\102\174\146\200\101\120\124\120\341\316\352\155"
    
84.         "\313\370"
    
85. #define      date_z     8
    
86. #define      date       ((double*)(&data[568]))
    
87.         "\377\307\035\122\152\177\041\123\046\211\230\370\201\253"
    
88. #define      chk1_z     22
    
89. #define      chk1       ((&data[577]))
    
90.         "\345\344\060\210\022\034\313\256\166\302\327\254\335\201\222\327"
    
91.         "\372\153\354\127\373\061\157"
    
92. #define      shll_z     9
    
93. #define      shll       ((&data[600]))
    
94.         "\344\111\003\267\211\255\311\112\344\011\032\211"
    
95. #define      inlo_z     3
    
96. #define      inlo       ((&data[611]))
    
97.         "\256\137\345"
    
98. #define      xecc_z     15
    
99. #define      xecc       ((&data[615]))
    
100.         "\164\150\003\041\116\313\136\322\031\060\373\003\365\175\061\302"
     
101.         "\073\225\356"
     
102. #define      lsto_z     1
     
103. #define      lsto       ((&data[633]))
     
104.         "\332"/* End of data[] */;
     
105. #define      hide_z     4096
     
106. #define DEBUGEXEC       0       /* Define as 1 to debug execvp calls */
     
107. #define TRACEABLE       0       /* Define as 1 to enable ptrace the executable */
     
108. 
     
109. /* rtc.c */
     
110. 
     
111. /* 这里是程序的主要函数和处理, 这里放不下,  看下一回复 */
     
112. [zec#/usr1/zec/bin]: file a.sh.exe
     
113. a.sh.exe:       PA-RISC1.1 shared executable dynamically linked -not stripped
     
114. [zec#/usr1/zec/bin]: a.sh.exe
     
115. mypid is 22399
     
116. today is Thu, Jan 19, 2006 11:13:35 AM
     
117. hello world
     
118. [zec#/usr1/zec/bin]:
     

复制代码

相信大家一看就大概知道他的原理, 不管什么sh或perl或expect, 第一行必须是:
类似#!/bin/sh这样的说明, 如#!/bin/perl或#!/usr/local/bin/expect
不同的程序编译后的.c文件只有在前面哪个宏定义不同. 相信很少人能看到这些宏对应的sh命令地址吧.

---

作者: ZealeS    时间: 2006-01-19 11:35
接上面/* rtc.c */后面.

1. #include <sys/stat.h>
   
2. #include <sys/types.h>
   
3. 
   
4. #include <errno.h>
   
5. #include <stdio.h>
   
6. #include <stdlib.h>
   
7. #include <string.h>
   
8. #include <time.h>
   
9. #include <unistd.h>
   
10. 
    
11. /**
    
12. * 'Alleged RC4' Source Code picked up from the news.
    
13. * From: allen@gateway.grumman.com (John L. Allen)
    
14. * Newsgroups: comp.lang.c
    
15. * Subject: Shrink this C code for fame and fun
    
16. * Date: 21 May 1996 10:49:37 -0400
    
17. */
    
18. 
    
19. static unsigned char stte[256], indx, jndx, kndx;
    
20. 
    
21. /*
    
22. * Reset arc4 stte.
    
23. */
    
24. void stte_0(void)
    
25. {
    
26.         indx = jndx = kndx = 0;
    
27.         do {
    
28.                 stte[indx] = indx;
    
29.         } while (++indx);
    
30. }
    
31. 
    
32. /*
    
33. * Set key. Can be used more than once.
    
34. */
    
35. void key(void * str, int len)
    
36. {
    
37.         unsigned char tmp, * ptr = (unsigned char *)str;
    
38.         while (len > 0) {
    
39.                 do {
    
40.                         tmp = stte[indx];
    
41.                         kndx += tmp;
    
42.                         kndx += ptr[(int)indx % len];
    
43.                         stte[indx] = stte[kndx];
    
44.                         stte[kndx] = tmp;
    
45.                 } while (++indx);
    
46.                 ptr += 256;
    
47.                 len -= 256;
    
48.         }
    
49. }
    
50. 
    
51. /*
    
52. * Crypt data.
    
53. */
    
54. void arc4(void * str, int len)
    
55. {
    
56.         unsigned char tmp, * ptr = (unsigned char *)str;
    
57.         while (len > 0) {
    
58.                 indx++;
    
59.                 tmp = stte[indx];
    
60.                 jndx += tmp;
    
61.                 stte[indx] = stte[jndx];
    
62.                 stte[jndx] = tmp;
    
63.                 tmp += stte[indx];
    
64.                 *ptr ^= stte[tmp];
    
65.                 ptr++;
    
66.                 len--;
    
67.         }
    
68. }
    
69. 
    
70. /*
    
71. * Key with file invariants.
    
72. */
    
73. int key_with_file(char * file)
    
74. {
    
75.         struct stat statf[1];
    
76.         struct stat control[1];
    
77. 
    
78.         if (stat(file, statf) < 0)
    
79.                 return -1;
    
80. 
    
81.         /* Turn on stable fields */
    
82.         memset(control, 0, sizeof(control));
    
83.         control->st_ino = statf->st_ino;
    
84.         control->st_dev = statf->st_dev;
    
85.         control->st_rdev = statf->st_rdev;
    
86.         control->st_uid = statf->st_uid;
    
87.         control->st_gid = statf->st_gid;
    
88.         control->st_size = statf->st_size;
    
89.         control->st_mtime = statf->st_mtime;
    
90.         control->st_ctime = statf->st_ctime;
    
91.         key((char *)control, sizeof(control));
    
92.         return 0;
    
93. }
    
94. 
    
95. #if DEBUGEXEC
    
96. void debugexec(char * shll, int argc, char ** argv)
    
97. {
    
98.         int i;
    
99. fprintf(stderr, "shll=%s\n", shll ? shll : "<null>");
    
100.         fprintf(stderr, "argc=%d\n", argc);
     
101.         if (!argv) {
     
102.                 fprintf(stderr, "argv=<null>\n");
     
103.         } else {
     
104.                 for (i = 0; i <= argc ; i++)
     
105.                         fprintf(stderr, "argv[%d]=%.60s\n", i, argv[i] ? argv[i] : "<null>");
     
106.         }
     
107. }
     
108. #endif /* DEBUGEXEC */
     
109. 
     
110. void rmarg(char ** argv, char * arg)
     
111. {
     
112.         for (; argv && *argv && *argv != arg; argv++);
     
113.         for (; argv && *argv; argv++)
     
114.                 *argv = argv[1];
     
115. }
     
116. 
     
117. int chkenv(int argc)
     
118. {
     
119.         char buff[512];
     
120.         unsigned mask, m;
     
121.         int l, a, c;
     
122.         char * string;
     
123.         extern char ** environ;
     
124. 
     
125.         mask  = (unsigned)chkenv;
     
126.         mask ^= (unsigned)getpid() * ~mask;
     
127.         sprintf(buff, "x%x", mask);
     
128.         string = getenv(buff);
     
129. #if DEBUGEXEC
     
130.         fprintf(stderr, "getenv(%s)=%s\n", buff, string ? string : "<null>");
     
131. #endif
     
132.         l = strlen(buff);
     
133.         if (!string) {
     
134.                 /* 1st */
     
135.                 sprintf(&buff[l], "=%u %d", mask, argc);
     
136.                 putenv(strdup(buff));
     
137.                 return 0;
     
138.         }
     
139.         c = sscanf(string, "%u %d%c", &m, &a, buff);
     
140.         if (c == 2 && m == mask) {
     
141.                 /* 3rd */
     
142.                 rmarg(environ, &string[-l - 1]);
     
143.                 return 1 + (argc - a);
     
144.         }
     
145.         return -1;
     
146. }
     
147. 
     
148. #if !TRACEABLE
     
149. 
     
150. #define _LINUX_SOURCE_COMPAT
     
151. #include <sys/ptrace.h>
     
152. #include <sys/types.h>
     
153. #include <sys/wait.h>
     
154. #include <fcntl.h>
     
155. #include <signal.h>
     
156. #include <stdio.h>
     
157. #include <unistd.h>
     
158. 
     
159. void untraceable(char * argv0)
     
160. {
     
161.         char proc[80];
     
162.         int pid, mine;
     
163. 
     
164.         switch(pid = vfork()) {
     
165.         case  0:
     
166.                 pid = getppid();
     
167.                 /* For problematic SunOS ptrace */
     
168.                 sprintf(proc, "/proc/%d/as", (int)pid);
     
169.                 close(0);
     
170.                 mine = !open(proc, O_RDWR|O_EXCL);
     
171.                 if (!mine && errno != EBUSY)
     
172.                         mine = !ptrace(0, pid, 0, 0, 0);
     
173.                 if (mine) {
     
174.                         kill(pid, SIGCONT);
     
175.                 } else {
     
176.                         perror(argv0);
     
177.                         kill(pid, SIGKILL);
     
178.                 }
     
179.                 _exit(mine);
     
180.         case -1:
     
181.                 break;
     
182.         default:
     
183.                 if (pid == waitpid(pid, 0, 0))
     
184.                         return;
     
185.         }
     
186.         perror(argv0);
     
187.         _exit(1);
     
188. }
     
189. #endif /* !TRACEABLE */
     
190. 
     
191. char * xsh(int argc, char ** argv)
     
192. {
     
193.         char * scrpt;
     
194.         int ret, i, j;
     
195.         char ** varg;
     
196. 
     
197.         stte_0();
     
198.          key(pswd, pswd_z);
     
199.         arc4(msg1, msg1_z);
     
200.         arc4(date, date_z);
     
201.         if (date[0] && date[0]<time(NULL))
     
202.                 return msg1;
     
203.         arc4(shll, shll_z);
     
204.         arc4(inlo, inlo_z);
     
205.         arc4(xecc, xecc_z);
     
206.         arc4(lsto, lsto_z);
     
207.         arc4(tst1, tst1_z);
     
208.          key(tst1, tst1_z);
     
209.         arc4(chk1, chk1_z);
     
210.         if ((chk1_z != tst1_z) || memcmp(tst1, chk1, tst1_z))
     
211.                 return tst1;
     
212.         ret = chkenv(argc);
     
213.         arc4(msg2, msg2_z);
     
214.         if (ret < 0)
     
215.                 return msg2;
     
216.         varg = (char **)calloc(argc + 10, sizeof(char *));
     
217.         if (!varg)
     
218.                 return 0;
     
219.         if (ret) {
     
220.                 arc4(rlax, rlax_z);
     
221.                 if (!rlax[0] && key_with_file(shll))
     
222.                         return shll;
     
223.                 arc4(opts, opts_z);
     
224.                 arc4(text, text_z);
     
225.                 arc4(tst2, tst2_z);
     
226.                  key(tst2, tst2_z);
     
227.                 arc4(chk2, chk2_z);
     
228.                 if ((chk2_z != tst2_z) || memcmp(tst2, chk2, tst2_z))
     
229.                         return tst2;
     
230.                 if (text_z < hide_z) {
     
231.                         /* Prepend spaces til a hide_z script size. */
     
232.                         scrpt = malloc(hide_z);
     
233.                         if (!scrpt)
     
234.                                 return 0;
     
235.                         memset(scrpt, (int) ' ', hide_z);
     
236.                         memcpy(&scrpt[hide_z - text_z], text, text_z);
     
237.                 } else {
     
238.                         scrpt = text;   /* Script text */
     
239.                 }
     
240.         } else {                        /* Reexecute */
     
241.                 if (*xecc) {
     
242.                         scrpt = malloc(512);
     
243.                         if (!scrpt)
     
244.                                 return 0;
     
245.                         sprintf(scrpt, xecc, argv[0]);
     
246.                 } else {
     
247.                         scrpt = argv[0];
     
248.                 }
     
249.         }
     
250.         j = 0;
     
251.         varg[j++] = argv[0];            /* My own name at execution */
     
252.         if (ret && *opts)
     
253.                 varg[j++] = opts;       /* Options on 1st line of code */
     
254.         if (*inlo)
     
255.                 varg[j++] = inlo;       /* Option introducing inline code */
     
256.         varg[j++] = scrpt;              /* The script itself */
     
257.         if (*lsto)
     
258.                 varg[j++] = lsto;       /* Option meaning last option */
     
259.         i = (ret > 1) ? ret : 0;        /* Args numbering correction */
     
260.         while (i < argc)
     
261.                 varg[j++] = argv[i++];  /* Main run-time arguments */
     
262.         varg[j] = 0;                    /* NULL terminated array */
     
263. #if DEBUGEXEC
     
264.         debugexec(shll, j, varg);
     
265. #endif
     
266.         execvp(shll, varg);
     
267.         return shll;
     
268. }
     
269. 
     
270. int main(int argc, char ** argv)
     
271. {
     
272. #if DEBUGEXEC
     
273.         debugexec("main", argc, argv);
     
274. #endif
     
275. #if !TRACEABLE
     
276.         untraceable(argv[0]);
     
277. #endif
     
278.         argv[1] = xsh(argc, argv);
     
279.         fprintf(stderr, "%s%s%s: %s\n", argv[0],
     
280.                 errno ? ": " : "",
     
281.                 errno ? strerror(errno) : "",
     
282.                 argv[1] ? argv[1] : "<null>"
     
283.         );
     
284.         return 1;
     
285. }

复制代码

---

作者: lues    时间: 2006-01-24 21:53
加密后系统经常出现死进程
test     32639  0.0  0.0     0    0 ?        Z    19:45   0:00 [kill.sh.x <defunct>]
test     32637  0.0  0.0  1372  260 ?        T    19:45   0:00 /home/test/kill.sh.x
test       330  0.0  0.0     0    0 ?        Z    19:50   0:00 [kill.sh.x <defunct>]
test       329  0.0  0.0  1372  260 ?        T    19:50   0:00 /home/test/kill.sh.x
test      2211  0.0  0.0     0    0 ?        Z    20:40   0:00 [kill.sh.x <defunct>]
test      2208  0.0  0.0  1380  260 ?        T    20:40   0:00 /home/test/kill.sh.x
test      4311  0.0  0.0     0    0 ?        Z    21:35   0:00 [kill.sh.x <defunct>]
test      4310  0.0  0.0  1364  260 ?        T    21:35   0:00 /home/test/kill.sh.x
test      4861  0.0  0.0     0    0 ?        Z    21:50   0:00 [kill.sh.x <defunct>]
test      4858  0.0  0.0  1372  260 ?        T    21:50   0:00 /home/test/kill.sh.x

不知楼主碰到过没有

---

作者: happylsg_2000    时间: 2010-05-27 11:44

---

欢迎光临 Chinaunix (http://bbs.chinaunix.net/)

Powered by Discuz! X3.2