Táticas de obfuscação de código em projetos PHP

Reforçando a defesa em profundidade de projetos críticos
@phpvelhooeste
Murilo Chianfa
2024
Táticas de obfuscação de código em projetos PHP

Quem sou eu
● Desenvolvedor na
● Estudante do último período de
Sistemas de informação.
● Entusiasta em infraestrutura e segurança.
● Possuo algumas certificações como:
ZCPE, LPIC-3, CT-SEC, SEC+...
github.com/murilochianfa
linkedin.com/in/murilochianfa/

Agenda
01
04
02
05
03
06
Pra que serve?
Quando utilizar?
Obfuscação em linguagens
compiladas X interpretadas
Aplicando métodos de
obfuscação
Anti-debugging
Tamperproofing
Limite teórico atual
e o futuro
Soluções existentes no
mercado

Pra que serve?
Imagem dos coelhos no castelo
Obfuscação: tornar pouco compreensível, confundir, gerar o que não se pode entender.

Pra que serve?
OWASP MASVS (Mobile Application Security)

Quem precisa? Quando utilizar?
● Ambientes hostis
- Servidores de terceiros
- Usuários finais
● Softwares comerciais
- Revendedoras
● hackers

Artefato final
PHP Source Code
Machine Code
Compiladas X Interpretadas*

Compiladas X Interpretadas*
Source Code
Machine Code
CPU
Compiler
Source Code
Bytecode
CPU
PHP Compiler
Machine Code
JIT Compiler
Zend Engine
(IR)
Diferença

Artefato final = bytecode?
…
https://github.com/php/php-src/pull/6146

Visualizando o bytecode do PHP
*Facilmente revertido para um pseudo-código

Métodos de obfuscação
● Embaralhar variáveis de escopo
● Propagar constantes
● Inserção de código lixo
● Confusão no fluxo de execução
● Variação polimórfica
● Criptografia de strings
● Criptografia do código fonte
*Sim, propositalmente dificultar o entendimento
● Inline functions
● Codificação simples
● Criar ou modificar OpCodes (swoole-compiler)
● Remoção dos comentários
● Algoritmos metamórficos
● Limitar versões de execução
● Limitar extenções permitidas

Embaralhar variáveis de escopo
Fotinha do script normal
*embaralhar o nome das variáveis
*criar outras variáveis intermediárias

Propagar constantes
*propaga as constantes se possível
*descaracterizar o valor

Inline functions
* não ter um ponto único de falha em algorítmos importantes

Confusão no fluxo de execução
*rand
*mt_rand
*random_int

Variação polimórfica
*branch instructions
*jump instructions
*call instructions

Criptografia de strings
*necessita de uma extensão
sobrescrevendo o método de
parsing de strings

Criptografia do código fonte
*necessita de uma extensão
sobrescrevendo o método de
parsing de arquivos PHP

Utilizando extensões para criptografia

Utilizando extensões para criptografia
*vamos substituir a função zend_compile_file por
uma que consiga descriptografar o código fonte

Visualizando o bytecode após obfuscações

anti-disassembly,
anti-debugging e
anti-tamper

Bloquear carregamento de extensão em runtime
xdebug phpdbg / vld
Limitar extenções

Empacotar estaticamente com PHPMICRO
git clone https://github.com/php/php-src/ php-src && cd php-src
git clone https://github.com/easysoft/phpmicro sapi/micro
patch -p1 sapi/micro/patches/*
./buildconf --force
--disable-phpdbg --disable-all --enable-micro=all-static --enable-my-decrypt-extension
./configure
make micro

Limite teórico atual
@ithare - Client-Size. Programming Languages including resilience to reverse engineering

● ircmaxell/php-compiler
● ircmaxell/php-llvm
● VKCOM/kphp
AOT não é prioridade para o PHP*
https://github.com/php/php-src/issues/8203
(Ahead of time) Compiler
Source Code
Machine Code
CPU
Compiler
AOT

Soluções existentes atualmente
● Poucas disponíveis open-source
● Pouca documentação de como utilizar
● Algumas são simples variações de “base64_encode/base64_decode”
Variações de “base64_encode/base64_decode” são muito utilizadas por
atacantes para evadir detecções em transporte por rede

pk-fr/yakpro-po
● Open source, porém não é mantido atualmente.
● Suporta poucas versões: PHP 7.x.
● Possui uma boa documentação.
● Não criptografa o código fonte.
● Custo: ☆☆☆☆☆ (free)
● Segurança: ★☆☆☆☆
● Performance: ★★★★★

phpbolt
● Free, mas NÃO é open source!
● Suporta versões recentes: PHP 7.1 á PHP 8.3.
● Não possui uma boa documentação.
● Não obfusca o código fonte, somente criptografia.
● Custo: ☆☆☆☆☆ (free)
● Segurança: ★☆☆☆☆

Zend Guard
● Criado pela própria zend em 2010, mantido até 2015.
● Suporta poucas versões: PHP 4.x - PHP 5.6.
● Não é mantido desde 2015.
● Custo: ★★★★☆ (assinatura anual)
● Segurança: ★★☆☆☆ (possui decompilers)
● Performance: ★★★★☆

Source Guardian
● Criado em 2002, mantido até hoje (2024).
● Suporta versões atuais como: PHP 5.x, PHP 7.x, PHP 8.x.
● Releases rápidas para as novas versões do PHP.
● Possui extensões para builds TS do PHP.
● Custo: ★★★☆☆ (preço fixo por cada versão - lifetime)
● Segurança: ★★★★☆
● Performance: ★★★★☆

Ioncube
● Criado em 2002, mantido até hoje (2024).
● Suporta versões atuais como: PHP 5.x, PHP 7.x, PHP 8.x.
● Releases demoram para se adaptar às novas versões do PHP.
● Última versão suporta PHP 8.2.
● Possui um bom manual de usuário.
● Possui extensões para builds TS do PHP.
● Custo: ★★★☆☆ (preço fixo por cada versão)
● Segurança: ★★★★☆

Como utilizar tudo isso?
● Utilizar ferramentas prontas e consolidadas. (maior conforto)
● Criar as próprias ferramentas de obfuscação. (maior segurança)
● Adicionar um novo passo na sua pipeline:
*sempre antes dos testes finais

Pontos positivos Pontos negativos
● Lock in de versão.
● Logs de erro obfuscado.
● Pode piorar a performance.
● Não garante segurança absoluta!
● Maior resiliência contra
engenharia reversa.
● Prevenção de pirataria.
Obfuscação

Obrigado!
github.com/murilochianfa
linkedin.com/in/murilochianfa/

Táticas de obfuscação de código em projetos PHP

Recommandé

Recommandé

Contenu connexe

Similaire à Táticas de obfuscação de código em projetos PHP

Similaire à Táticas de obfuscação de código em projetos PHP (20)

Táticas de obfuscação de código em projetos PHP