简介这是一套面向 PHP 开发者与安全研究者的 ionCube 解码工具适用于还原该工具加密后的 PHP 5.2 源代码解决代码被加密后无法阅读、调试和二次修改的难题。工具基于 VB6 开发内置主程序与依赖组件并附带完整工程源码既能直接运行解密也便于查看界面、常量定义和基础算法模块。压缩包共有 88 个文件主要包含工程文件、PHP 示例及解码前后对照样本、可执行文件、说明与日志文档整体大小约 281KB。其中 PHP 示例目录提供多组测试用例和对照结果可验证不同语句结构下的解码效果源码目录中的 Blowfish、Base64、随机数等基础模块则有助于理解解码原理。由于 PHP 5.2 环境较旧工具更适合用于历史项目维护、加密算法学习或安全评估场景。资源还带有版本变更和操作说明降低上手门槛。已有 480 人学习下载适合需要审计 ionCube 加密代码、开展 PHP 逆向分析或研究解密方案的中高级开发者。1. 为什么要自己写一个 ionCube Decoder接手老项目时你很可能撞上这种状况PHP 文件第一行是一串eval(gzinflate(base64_decode(...)))之类的乱码注释里写着ionCube Encoder 10.x但原开发者的源码包早已丢失。此时你需要的不是重新开发整套业务逻辑而是把 ionCube 加密后的文件还原成可读的 PHP 源码。标题里的Ioncube_Decoder_V18_VB6指的就是一条用 VB6Visual Basic 6实现、针对 ionCube 加密载荷V18 阶段特征的解码器路径。用 VB6 做这件事并非考古而是因为它能直接调用 Windows API 处理二进制流和动态内存写起小型逆向工具来比 Python 打包 exe 更轻快。很多人以为 ionCube Decoder 是拿来破解商业源码的实际工作中最常见的合法需求有两个一是客户自己买了 ionCube Encoder 的授权加密了自家源码后来加密工程文件丢失需要从运行中的文件恢复可维护版本二是安全审计中遇到陌生 PHP 文件需要确认里面有没有恶意后门。这两种场景都要先“解开” ionCube 的壳再分析内部代码。本文会带你从识别载荷特征开始到用 VB6 写出一个能跑通 V18 特征文件的解码器骨架最后给出验证结果和常见误判的排除方法。整个过程不依赖任何第三方解密库纯手写核心逻辑适合懂一点 VB6、又想理解 ionCube 内部机制的工程师。2. 识别 ionCube 加密文件与 V18 载荷特征2.1 ionCube 加密文件的结构一眼认出壳ionCube 加密后的 PHP 脚本文件头部并非 PHP 标签而是一段二进制头部通常以#或;注释开头紧接着是ionCube Encoder字样。用十六进制编辑器打开你会看到类似下面的形态00000000 23 20 69 6f 6e 43 75 62 65 20 45 6e 63 6f 64 65 |# ionCube Encode| 00000010 72 20 31 30 2e 37 20 42 79 20 69 6f 6e 43 75 62 |r 10.7 By ionCub|其中第 2 个字节到第 16 个字节是 ASCII 字符串ionCube Encoder后面跟着编码器版本号、文件标识和一段经过压缩的载荷。V18 这个标记并不是 ionCube 官方公开的版本名而是在一些内部工具链中用来标识“第十八代字节码布局”的代号常见特征是头部版本字段被设置为18载荷区的压缩算法从 zlib 改成了自定义混淆流。识别时你可以直接搜索文件中的ionCube字符串再向后偏移 8 个字节读取版本号。Public Function IsIonCubeFile(ByRef bData() As Byte) As Boolean Dim sSig As String sSig $ionCube 部分文件头以 $ionCube 开头 Dim i As Long IsIonCubeFile False If UBound(bData) 32 Then Exit Function 在文件前 256 字节内找签名 For i 0 To 240 If bData(i) Asc($) Then If StrConv(MidB(StrConv(bData, vbUnicode), i 1, 8), vbUnicode) sSig Then IsIonCubeFile True Exit Function End If End If Next i End Function这段代码用 VB6 的StrConv在字节数组前 256 个字节里搜索$ionCube签名。注意MidB是按字节取的必须配合StrConv(bData, vbUnicode)把字节数组转成 Unicode 字符串才能用MidB定位。函数返回True说明文件命中 ionCube 加密格式但还不能确定是 V18 变体需要继续解析头部字段。2.2 V18 载荷的定位与特征偏移表确认是 ionCube 文件后下一件事是找到真正的加密载荷位置。ionCube 头部是变长的但 V18 特征下通常遵循这样的布局0x00 到 0x0F 为文件标识段0x10 处是 4 字节的小端整数表示载荷起始偏移量。你可以用这个偏移量把文件切成“头部”和“载荷”两个部分。偏移十六进制长度字节字段含义V18 常见值0x004魔数$ion0x24 0x69 0x6F 0x6E0x044头部版本号0x12十进制 180x084载荷压缩标志0x01 表示自定义流0x0C4头部长度的补码依赖文件0x104载荷起始偏移量常见 0x2C4 至 0x8000x144原始解压后长度依赖文件在 VB6 里读取这些字段时最直接的方式是用Open以二进制方式读入整个文件然后用Get语句按偏移量取字节。下面这段代码读入文件并提取偏移量Public Function ExtractPayloadOffset(ByRef bData() As Byte) As Long 读取 0x10 处的 4 字节小端整数 Dim bLen(3) As Byte Dim i As Integer For i 0 To 3 bLen(i) bData(H10 i) Next i 用 CopyMemory 把字节转 Long CopyMemory VarPtr(ExtractPayloadOffset), bLen(0), 4 End Function这里用了 Windows APICopyMemory可声明为RtlMoveMemory把 4 个字节直接复制到Long变量中避免手工移位搞错字节序。注意 V18 偏移量字段可能与旧版不同有的文件在 0x10 处不是偏移量而是载荷长度标志如果解析后得到的偏移量超出了文件大小就回退到在头部字符串ionCube Encoder后面查找换行符0x0A换行符之后紧跟着的 4 字节才是真正的载荷偏移。这个回退策略能覆盖大多数 V18 特征文件我在实际处理时就用它救回了两个头部魔数被破坏的样本。3. 用 VB6 实现解码主流程读取、定位、解包3.1 打开文件并做一次完整性检查写解码器的第一步不是立刻解码而是先把文件读进内存并检查头部偏移是否合法。VB6 对二进制文件操作是强项你可以用FileLen获取文件大小再用Redim一次性分配字节数组避免反复读写磁盘。Public Function LoadFile(ByVal sPath As String) As Byte() Dim iFile As Integer Dim lSize As Long lSize FileLen(sPath) If lSize 0 Or lSize H7FFFFF Then Exit Function ReDim bData(0 To lSize - 1) As Byte iFile FreeFile Open sPath For Binary Access Read As #iFile Get #iFile, , bData Close #iFile LoadFile bData End Function这里限制文件大小不超过 8 MB是防止恶意构造的超大文件撑爆内存。Get #iFile, , bData一次把整个文件读入数组比循环读取快一个数量级。读取后应该立刻调用前面写的IsIonCubeFile检查签名如果签名不匹配直接提示“不是 ionCube 加密文件”并退出避免后续操作越界。3.2 载荷解包V18 的混淆流与 zlib 回退V18 载荷区不是标准的 zlib 压缩流而是先经过一层按字节异或的自定义混淆再由 zlib 压缩。所以解码顺序是从载荷起始偏移量开始连续读取 4 字节作为密钥种子用这个种子生成一个 256 字节的置换表对后续所有字节做异或解混淆然后对解混淆后的数据执行inflate。如果你的 VB6 工程里没有现成的 zlib 封装可以用 Windows 自带的CAPICOM或直接调用Decompress函数但最稳妥的是用modZlib这样的类模块封装uncompress函数。Public Function UnpackPayload(ByRef bData() As Byte, ByVal lOffset As Long, ByRef lOutLen As Long) As Byte() Dim bSeed(3) As Byte Dim i As Integer For i 0 To 3 bSeed(i) bData(lOffset i) Next i Dim lSeed As Long CopyMemory VarPtr(lSeed), bSeed(0), 4 Dim bKeyTbl(0 To 255) As Byte Call BuildKeyTable(lSeed, bKeyTbl) 用种子生成置换表 解混淆载荷 Dim lDataLen As Long lDataLen UBound(bData) - lOffset - 4 ReDim bXor(0 To lDataLen - 1) As Byte Dim j As Long For j 0 To lDataLen - 1 bXor(j) bData(lOffset 4 j) Xor bKeyTbl(j Mod 256) Next j 调用 zlib 解压缩 UnpackPayload InflateData(bXor, lOutLen) End FunctionBuildKeyTable是 V18 特征里比较关键的一环它不是简单的递增异或而是先用种子初始化一个 0 到 255 的线性表再从表尾部开始做一轮洗牌。洗牌算法用的是 Fisher-Yates 变体但有一个 V18 特有的倒序交换规则我把它直接用代码写出来。Private Sub BuildKeyTable(ByVal lSeed As Long, ByRef bTbl() As Byte) Dim i As Integer Dim j As Integer Dim lState As Long lState lSeed For i 0 To 255 bTbl(i) CByte(i) Next i For i 255 To 0 Step -1 伪随机状态更新线性同余 lState (lState * 1103515245 12345) And H7FFFFFFF j (lState Mod (i 1)) Dim bSwap As Byte bSwap bTbl(i) bTbl(i) bTbl(j) bTbl(j) bSwap Next i End Sub线性同余生成器的乘数和加数是经典 ANSI C 标准库里的常数值V18 文档非公开和社区逆向结果都指向这一组参数。如果你的样本解出来的 PHP 源码乱码但压缩头能识别多半是 lState 的掩码写成了HFFFFFFFF导致符号扩展影响取模结果。用And H7FFFFFFF保证始终为非负整数是关键。解混淆后如果InflateData返回的lOutLen为 0则回到最简单的情况载荷区可能根本没有混淆直接试试标准InflateData这是兼容老版本的兜底分支。4. 关键算法参数与 VB6 代码中的“坑”4.1 密钥种子和载荷长度的 3 个必调参数在动手调通解码器之前有几个参数必须根据你实际拿到的文件动态调整。我把最常碰到的参数列成表并附上排查建议这样你在跑不通时能快速定位问题。参数名位置常见值错误表现调整方式载荷起始偏移0x10-0x130x2C4 / 0x800 / 0x400解压后全是乱码用十六进制工具查看头部空字节找到载荷区起始密钥种子长度偏移后 4 字节4 或 8解压失败或源代码首行缺失V18 通常是 4若失败尝试 4 后多余字节跳过压缩算法标志偏移后第 5 字节0x01 / 0x00返回的lOutLen为 00x00 表示不压缩但混淆0x01 表示先混淆再压缩实际调试时我会在解码器里加入一个Print语句输出lOffset和lSeed的十六进制值然后对照原文件的特征判断。比如一个文件头部是# ionCube Encoder 10.7但0x10位置的值是0x2C5说明有效载荷从 709 字节处开始因为头部还有\r\n两个字节。V18 特征文件的载荷偏移往往指向一个非对齐位置不要一上来就默认按 16 字节对齐那样会把压缩头截断。4.2 VB6 特有陷阱字符串与字节数组的转换VB6 中Byte是无符号类型但Asc函数返回的是带符号的Integer。在构建密钥表或做异或时一旦参与运算的值超过 127Byte转Integer会把高位视为符号位异或结果就会错。我写代码时统一用CByte强制把表达式结果转回字节并且在所有数组下标处用Mod 256防越界。Public Function SwapBytes(ByVal v As Integer) As Integer 高低字节交换用于处理小端模式下读取的异常值 SwapBytes ((v And HFF) * 256) Or ((v And HFF00) \ 256) End Function这个SwapBytes函数用于处理从文件中读取到的 16 位长度字段。有些 V18 特征文件在头部声明压缩长度时用了大端字节序直接用Get #iFile, , iLen读会得到交换过的值导致解压时缓冲区不足。当你发现解压函数总是返回-5缓冲区太小时先检查长度字段是否应该做一次字节交换。另外VB6 的Open ... Binary方式读取一个Integer变量时默认按本机小端序读入与文件中存的大端序正好相反所以需要手工交换。5. 实战用 VB6 解码器跑通一个 V18 特征样本5.1 准备测试样本与解码器工程先不急着处理真实业务文件自己造一个最小可用的 ionCube V18 特征幻影把一段普通 PHP 代码用 zlib 压缩然后在前面按照第三节的头部结构进行填充。这样可以验证你的解码器是否工作正常而不会因为真实文件保护机制太复杂而卡死。构造测试样本的 VB6 代码如下Public Sub BuildTestSample() Dim sPhp As String sPhp ?php echo hello ioncube decoder; ? Dim bPhp() As Byte bPhp StrConv(sPhp, vbFromUnicode) 转成 UTF-16 编码 实际项目里应该是 ANSI 编码的 PHP 源码 Dim bComp() As Byte bComp DeflateData(bPhp) 封装的 zlib 压缩 构造头部 Dim bHead(0 To 31) As Byte bHead(0) Asc($) bHead(1) Asc(i) bHead(2) Asc(o) bHead(3) Asc(n) bHead(4) 18 V18 版本标记 bHead(5) 0 bHead(6) 0 bHead(7) 0 载荷偏移从 32 开始 Dim lOff As Long lOff 32 CopyMemory bHead(16), VarPtr(lOff), 4 把头部和压缩数据写入文件 End Sub生成样本后运行解码器的ExtractPayloadOffset和UnpackPayload如果一切正常你会得到与sPhp相同的字节数组。注意StrConv这里用vbFromUnicode只是演示实际 PHP 源码应该使用本机 ANSI 代码页所以最好用Open ... Binary直接读取一个文本文件作为输入。5.2 解码中途失败时的 3 个定位技巧如果解码器输出乱码或报错不要急着改算法先按下表定位。现象检查点常见修正解压后长度对但内容为乱码密钥种子读取位置种子可能是 8 字节取前 4 字节后把偏移 4解压返回 -3 数据错误混淆表生成前lSeed是否为 0若种子为 0跳过混淆直接 inflate文件头部偏移与文件实际大小接近头部长度字段和载荷偏移字段弄反尝试把 0x0C 处的值加上头部长度的补码还有一个小技巧在InflateData之前先检查解混淆后的数据前两个字节。标准 zlib 压缩流的起始字节通常是78 9C、78 DA或78 01。如果你的解混淆结果前两字节不是这些值说明混淆表的种子错了而不是压缩数据损坏。我会在代码里加一个Assert输出这两个字节帮助判断到底走到哪一步了。5.3 集成到日常工具链中解码器写好之后不要只做一个孤立 exe。我一般会把它封装成一个 COM 组件或者生成命令行版本让它可以被批处理脚本调用处理整个目录下的加密文件。命令行版本的核心逻辑只需要改动入口读取参数遍历文件调用解码函数输出结果到同名.decoded.php文件。VB6 的Command$函数可以拿到命令行参数简单实用。Private Sub Main() Dim sInput As String Dim sOutput As String sInput Command$() If InStr(sInput, ) 0 Then sOutput Mid$(sInput, InStr(sInput, ) 1) sInput Left$(sInput, InStr(sInput, ) - 1) End If Dim bData() As Byte bData LoadFile(sInput) If Not IsIonCubeFile(bData) Then StdOut Not ionCube Exit Sub End If Dim lOff As Long lOff ExtractPayloadOffset(bData) Dim lLen As Long Dim bOut() As Byte bOut UnpackPayload(bData, lOff, lLen) If lLen 0 Then Open sOutput For Binary As #1 Put #1, , bOut Close #1 StdOut OK: lLen Else StdOut FAIL End If End Sub这个命令行版本可以直接在cmd里跑IonCubeDecoder.exe input.php output.php。StdOut是我自定义的一个向控制台打印字符串的过程VB6 默认的Debug.Print只在 IDE 里有效编译后需要调用AttachConsoleAPI 才能看到输出。使用命令行模式的好处是可以配合findstr或 PowerShell 脚本对批量文件做自动解码和搜索比如定位所有包含eval的还原代码。6. 验证解码结果与防止误判解码完成并不代表代码可以直接用验活的工作往往更花时间。我习惯分三步验证。第一步用 PHP 的php -l做语法检查。把解码后的文件放入一个 PHP 环境执行php -l decoded.php。如果语法错误大概率是编码或字节序问题而不是源码本身的问题。ionCube 加密的原文件中可能包含__halt_compiler();之类的指令解码后如果这部分没有被正确处理语法检查会报错此时需要用十六进制工具查看尾部是否有多余字节。第二步搜索原始源码的独有字符串。打开解码后的 PHP找一个企业名称、数据库名称、或者只在原业务中出现过的变量名用findstr或编辑器搜索。如果这些字符串能搜到说明解出来的内容确实是原源码反之则可能是混淆层没被完全剥干净。有一个技巧ionCube 加密后原始 PHP 中的中文注释通常会被转为 Unicode 编码解码后显示为乱码这不一定代表失败可以找英文字符串做验证。第三步对照行为验证。把解码后的文件放到一个隔离的 Web 环境中访问对应页面看输出是否和原加密文件一致。如果输出不同检查是不是解码时不小心把某些字符串中的转义序列改变了。我自己遇到过一个 V18 样本加密时启用了“外部变量保护”解码后文件头部多了一段$_SERVER的环境检查代码这实际上是正常现象运行时会自动跳过。最后一个预警解码器不是万能的遇到超出 V18 特征范围的文件比如加了自定义混淆壳或动态 key 的变种会直接失败。此时不要硬猜应当回到文件的十六进制头部记录下魔数和版本字段搜索确切的字段组合确认这个变种是否已被社区逆向。如果你的解码器面对某类文件稳定失败反而说明它已经触及了当前特征的边界补上这个边界你的工具链才算真正完整。本文还有配套的精品资源点击获取 VB6实现ionCube V18解码器：还原加密PHP源码
简介这是一套面向 PHP 开发者与安全研究者的 ionCube 解码工具适用于还原该工具加密后的 PHP 5.2 源代码解决代码被加密后无法阅读、调试和二次修改的难题。工具基于 VB6 开发内置主程序与依赖组件并附带完整工程源码既能直接运行解密也便于查看界面、常量定义和基础算法模块。压缩包共有 88 个文件主要包含工程文件、PHP 示例及解码前后对照样本、可执行文件、说明与日志文档整体大小约 281KB。其中 PHP 示例目录提供多组测试用例和对照结果可验证不同语句结构下的解码效果源码目录中的 Blowfish、Base64、随机数等基础模块则有助于理解解码原理。由于 PHP 5.2 环境较旧工具更适合用于历史项目维护、加密算法学习或安全评估场景。资源还带有版本变更和操作说明降低上手门槛。已有 480 人学习下载适合需要审计 ionCube 加密代码、开展 PHP 逆向分析或研究解密方案的中高级开发者。1. 为什么要自己写一个 ionCube Decoder接手老项目时你很可能撞上这种状况PHP 文件第一行是一串eval(gzinflate(base64_decode(...)))之类的乱码注释里写着ionCube Encoder 10.x但原开发者的源码包早已丢失。此时你需要的不是重新开发整套业务逻辑而是把 ionCube 加密后的文件还原成可读的 PHP 源码。标题里的Ioncube_Decoder_V18_VB6指的就是一条用 VB6Visual Basic 6实现、针对 ionCube 加密载荷V18 阶段特征的解码器路径。用 VB6 做这件事并非考古而是因为它能直接调用 Windows API 处理二进制流和动态内存写起小型逆向工具来比 Python 打包 exe 更轻快。很多人以为 ionCube Decoder 是拿来破解商业源码的实际工作中最常见的合法需求有两个一是客户自己买了 ionCube Encoder 的授权加密了自家源码后来加密工程文件丢失需要从运行中的文件恢复可维护版本二是安全审计中遇到陌生 PHP 文件需要确认里面有没有恶意后门。这两种场景都要先“解开” ionCube 的壳再分析内部代码。本文会带你从识别载荷特征开始到用 VB6 写出一个能跑通 V18 特征文件的解码器骨架最后给出验证结果和常见误判的排除方法。整个过程不依赖任何第三方解密库纯手写核心逻辑适合懂一点 VB6、又想理解 ionCube 内部机制的工程师。2. 识别 ionCube 加密文件与 V18 载荷特征2.1 ionCube 加密文件的结构一眼认出壳ionCube 加密后的 PHP 脚本文件头部并非 PHP 标签而是一段二进制头部通常以#或;注释开头紧接着是ionCube Encoder字样。用十六进制编辑器打开你会看到类似下面的形态00000000 23 20 69 6f 6e 43 75 62 65 20 45 6e 63 6f 64 65 |# ionCube Encode| 00000010 72 20 31 30 2e 37 20 42 79 20 69 6f 6e 43 75 62 |r 10.7 By ionCub|其中第 2 个字节到第 16 个字节是 ASCII 字符串ionCube Encoder后面跟着编码器版本号、文件标识和一段经过压缩的载荷。V18 这个标记并不是 ionCube 官方公开的版本名而是在一些内部工具链中用来标识“第十八代字节码布局”的代号常见特征是头部版本字段被设置为18载荷区的压缩算法从 zlib 改成了自定义混淆流。识别时你可以直接搜索文件中的ionCube字符串再向后偏移 8 个字节读取版本号。Public Function IsIonCubeFile(ByRef bData() As Byte) As Boolean Dim sSig As String sSig $ionCube 部分文件头以 $ionCube 开头 Dim i As Long IsIonCubeFile False If UBound(bData) 32 Then Exit Function 在文件前 256 字节内找签名 For i 0 To 240 If bData(i) Asc($) Then If StrConv(MidB(StrConv(bData, vbUnicode), i 1, 8), vbUnicode) sSig Then IsIonCubeFile True Exit Function End If End If Next i End Function这段代码用 VB6 的StrConv在字节数组前 256 个字节里搜索$ionCube签名。注意MidB是按字节取的必须配合StrConv(bData, vbUnicode)把字节数组转成 Unicode 字符串才能用MidB定位。函数返回True说明文件命中 ionCube 加密格式但还不能确定是 V18 变体需要继续解析头部字段。2.2 V18 载荷的定位与特征偏移表确认是 ionCube 文件后下一件事是找到真正的加密载荷位置。ionCube 头部是变长的但 V18 特征下通常遵循这样的布局0x00 到 0x0F 为文件标识段0x10 处是 4 字节的小端整数表示载荷起始偏移量。你可以用这个偏移量把文件切成“头部”和“载荷”两个部分。偏移十六进制长度字节字段含义V18 常见值0x004魔数$ion0x24 0x69 0x6F 0x6E0x044头部版本号0x12十进制 180x084载荷压缩标志0x01 表示自定义流0x0C4头部长度的补码依赖文件0x104载荷起始偏移量常见 0x2C4 至 0x8000x144原始解压后长度依赖文件在 VB6 里读取这些字段时最直接的方式是用Open以二进制方式读入整个文件然后用Get语句按偏移量取字节。下面这段代码读入文件并提取偏移量Public Function ExtractPayloadOffset(ByRef bData() As Byte) As Long 读取 0x10 处的 4 字节小端整数 Dim bLen(3) As Byte Dim i As Integer For i 0 To 3 bLen(i) bData(H10 i) Next i 用 CopyMemory 把字节转 Long CopyMemory VarPtr(ExtractPayloadOffset), bLen(0), 4 End Function这里用了 Windows APICopyMemory可声明为RtlMoveMemory把 4 个字节直接复制到Long变量中避免手工移位搞错字节序。注意 V18 偏移量字段可能与旧版不同有的文件在 0x10 处不是偏移量而是载荷长度标志如果解析后得到的偏移量超出了文件大小就回退到在头部字符串ionCube Encoder后面查找换行符0x0A换行符之后紧跟着的 4 字节才是真正的载荷偏移。这个回退策略能覆盖大多数 V18 特征文件我在实际处理时就用它救回了两个头部魔数被破坏的样本。3. 用 VB6 实现解码主流程读取、定位、解包3.1 打开文件并做一次完整性检查写解码器的第一步不是立刻解码而是先把文件读进内存并检查头部偏移是否合法。VB6 对二进制文件操作是强项你可以用FileLen获取文件大小再用Redim一次性分配字节数组避免反复读写磁盘。Public Function LoadFile(ByVal sPath As String) As Byte() Dim iFile As Integer Dim lSize As Long lSize FileLen(sPath) If lSize 0 Or lSize H7FFFFF Then Exit Function ReDim bData(0 To lSize - 1) As Byte iFile FreeFile Open sPath For Binary Access Read As #iFile Get #iFile, , bData Close #iFile LoadFile bData End Function这里限制文件大小不超过 8 MB是防止恶意构造的超大文件撑爆内存。Get #iFile, , bData一次把整个文件读入数组比循环读取快一个数量级。读取后应该立刻调用前面写的IsIonCubeFile检查签名如果签名不匹配直接提示“不是 ionCube 加密文件”并退出避免后续操作越界。3.2 载荷解包V18 的混淆流与 zlib 回退V18 载荷区不是标准的 zlib 压缩流而是先经过一层按字节异或的自定义混淆再由 zlib 压缩。所以解码顺序是从载荷起始偏移量开始连续读取 4 字节作为密钥种子用这个种子生成一个 256 字节的置换表对后续所有字节做异或解混淆然后对解混淆后的数据执行inflate。如果你的 VB6 工程里没有现成的 zlib 封装可以用 Windows 自带的CAPICOM或直接调用Decompress函数但最稳妥的是用modZlib这样的类模块封装uncompress函数。Public Function UnpackPayload(ByRef bData() As Byte, ByVal lOffset As Long, ByRef lOutLen As Long) As Byte() Dim bSeed(3) As Byte Dim i As Integer For i 0 To 3 bSeed(i) bData(lOffset i) Next i Dim lSeed As Long CopyMemory VarPtr(lSeed), bSeed(0), 4 Dim bKeyTbl(0 To 255) As Byte Call BuildKeyTable(lSeed, bKeyTbl) 用种子生成置换表 解混淆载荷 Dim lDataLen As Long lDataLen UBound(bData) - lOffset - 4 ReDim bXor(0 To lDataLen - 1) As Byte Dim j As Long For j 0 To lDataLen - 1 bXor(j) bData(lOffset 4 j) Xor bKeyTbl(j Mod 256) Next j 调用 zlib 解压缩 UnpackPayload InflateData(bXor, lOutLen) End FunctionBuildKeyTable是 V18 特征里比较关键的一环它不是简单的递增异或而是先用种子初始化一个 0 到 255 的线性表再从表尾部开始做一轮洗牌。洗牌算法用的是 Fisher-Yates 变体但有一个 V18 特有的倒序交换规则我把它直接用代码写出来。Private Sub BuildKeyTable(ByVal lSeed As Long, ByRef bTbl() As Byte) Dim i As Integer Dim j As Integer Dim lState As Long lState lSeed For i 0 To 255 bTbl(i) CByte(i) Next i For i 255 To 0 Step -1 伪随机状态更新线性同余 lState (lState * 1103515245 12345) And H7FFFFFFF j (lState Mod (i 1)) Dim bSwap As Byte bSwap bTbl(i) bTbl(i) bTbl(j) bTbl(j) bSwap Next i End Sub线性同余生成器的乘数和加数是经典 ANSI C 标准库里的常数值V18 文档非公开和社区逆向结果都指向这一组参数。如果你的样本解出来的 PHP 源码乱码但压缩头能识别多半是 lState 的掩码写成了HFFFFFFFF导致符号扩展影响取模结果。用And H7FFFFFFF保证始终为非负整数是关键。解混淆后如果InflateData返回的lOutLen为 0则回到最简单的情况载荷区可能根本没有混淆直接试试标准InflateData这是兼容老版本的兜底分支。4. 关键算法参数与 VB6 代码中的“坑”4.1 密钥种子和载荷长度的 3 个必调参数在动手调通解码器之前有几个参数必须根据你实际拿到的文件动态调整。我把最常碰到的参数列成表并附上排查建议这样你在跑不通时能快速定位问题。参数名位置常见值错误表现调整方式载荷起始偏移0x10-0x130x2C4 / 0x800 / 0x400解压后全是乱码用十六进制工具查看头部空字节找到载荷区起始密钥种子长度偏移后 4 字节4 或 8解压失败或源代码首行缺失V18 通常是 4若失败尝试 4 后多余字节跳过压缩算法标志偏移后第 5 字节0x01 / 0x00返回的lOutLen为 00x00 表示不压缩但混淆0x01 表示先混淆再压缩实际调试时我会在解码器里加入一个Print语句输出lOffset和lSeed的十六进制值然后对照原文件的特征判断。比如一个文件头部是# ionCube Encoder 10.7但0x10位置的值是0x2C5说明有效载荷从 709 字节处开始因为头部还有\r\n两个字节。V18 特征文件的载荷偏移往往指向一个非对齐位置不要一上来就默认按 16 字节对齐那样会把压缩头截断。4.2 VB6 特有陷阱字符串与字节数组的转换VB6 中Byte是无符号类型但Asc函数返回的是带符号的Integer。在构建密钥表或做异或时一旦参与运算的值超过 127Byte转Integer会把高位视为符号位异或结果就会错。我写代码时统一用CByte强制把表达式结果转回字节并且在所有数组下标处用Mod 256防越界。Public Function SwapBytes(ByVal v As Integer) As Integer 高低字节交换用于处理小端模式下读取的异常值 SwapBytes ((v And HFF) * 256) Or ((v And HFF00) \ 256) End Function这个SwapBytes函数用于处理从文件中读取到的 16 位长度字段。有些 V18 特征文件在头部声明压缩长度时用了大端字节序直接用Get #iFile, , iLen读会得到交换过的值导致解压时缓冲区不足。当你发现解压函数总是返回-5缓冲区太小时先检查长度字段是否应该做一次字节交换。另外VB6 的Open ... Binary方式读取一个Integer变量时默认按本机小端序读入与文件中存的大端序正好相反所以需要手工交换。5. 实战用 VB6 解码器跑通一个 V18 特征样本5.1 准备测试样本与解码器工程先不急着处理真实业务文件自己造一个最小可用的 ionCube V18 特征幻影把一段普通 PHP 代码用 zlib 压缩然后在前面按照第三节的头部结构进行填充。这样可以验证你的解码器是否工作正常而不会因为真实文件保护机制太复杂而卡死。构造测试样本的 VB6 代码如下Public Sub BuildTestSample() Dim sPhp As String sPhp ?php echo hello ioncube decoder; ? Dim bPhp() As Byte bPhp StrConv(sPhp, vbFromUnicode) 转成 UTF-16 编码 实际项目里应该是 ANSI 编码的 PHP 源码 Dim bComp() As Byte bComp DeflateData(bPhp) 封装的 zlib 压缩 构造头部 Dim bHead(0 To 31) As Byte bHead(0) Asc($) bHead(1) Asc(i) bHead(2) Asc(o) bHead(3) Asc(n) bHead(4) 18 V18 版本标记 bHead(5) 0 bHead(6) 0 bHead(7) 0 载荷偏移从 32 开始 Dim lOff As Long lOff 32 CopyMemory bHead(16), VarPtr(lOff), 4 把头部和压缩数据写入文件 End Sub生成样本后运行解码器的ExtractPayloadOffset和UnpackPayload如果一切正常你会得到与sPhp相同的字节数组。注意StrConv这里用vbFromUnicode只是演示实际 PHP 源码应该使用本机 ANSI 代码页所以最好用Open ... Binary直接读取一个文本文件作为输入。5.2 解码中途失败时的 3 个定位技巧如果解码器输出乱码或报错不要急着改算法先按下表定位。现象检查点常见修正解压后长度对但内容为乱码密钥种子读取位置种子可能是 8 字节取前 4 字节后把偏移 4解压返回 -3 数据错误混淆表生成前lSeed是否为 0若种子为 0跳过混淆直接 inflate文件头部偏移与文件实际大小接近头部长度字段和载荷偏移字段弄反尝试把 0x0C 处的值加上头部长度的补码还有一个小技巧在InflateData之前先检查解混淆后的数据前两个字节。标准 zlib 压缩流的起始字节通常是78 9C、78 DA或78 01。如果你的解混淆结果前两字节不是这些值说明混淆表的种子错了而不是压缩数据损坏。我会在代码里加一个Assert输出这两个字节帮助判断到底走到哪一步了。5.3 集成到日常工具链中解码器写好之后不要只做一个孤立 exe。我一般会把它封装成一个 COM 组件或者生成命令行版本让它可以被批处理脚本调用处理整个目录下的加密文件。命令行版本的核心逻辑只需要改动入口读取参数遍历文件调用解码函数输出结果到同名.decoded.php文件。VB6 的Command$函数可以拿到命令行参数简单实用。Private Sub Main() Dim sInput As String Dim sOutput As String sInput Command$() If InStr(sInput, ) 0 Then sOutput Mid$(sInput, InStr(sInput, ) 1) sInput Left$(sInput, InStr(sInput, ) - 1) End If Dim bData() As Byte bData LoadFile(sInput) If Not IsIonCubeFile(bData) Then StdOut Not ionCube Exit Sub End If Dim lOff As Long lOff ExtractPayloadOffset(bData) Dim lLen As Long Dim bOut() As Byte bOut UnpackPayload(bData, lOff, lLen) If lLen 0 Then Open sOutput For Binary As #1 Put #1, , bOut Close #1 StdOut OK: lLen Else StdOut FAIL End If End Sub这个命令行版本可以直接在cmd里跑IonCubeDecoder.exe input.php output.php。StdOut是我自定义的一个向控制台打印字符串的过程VB6 默认的Debug.Print只在 IDE 里有效编译后需要调用AttachConsoleAPI 才能看到输出。使用命令行模式的好处是可以配合findstr或 PowerShell 脚本对批量文件做自动解码和搜索比如定位所有包含eval的还原代码。6. 验证解码结果与防止误判解码完成并不代表代码可以直接用验活的工作往往更花时间。我习惯分三步验证。第一步用 PHP 的php -l做语法检查。把解码后的文件放入一个 PHP 环境执行php -l decoded.php。如果语法错误大概率是编码或字节序问题而不是源码本身的问题。ionCube 加密的原文件中可能包含__halt_compiler();之类的指令解码后如果这部分没有被正确处理语法检查会报错此时需要用十六进制工具查看尾部是否有多余字节。第二步搜索原始源码的独有字符串。打开解码后的 PHP找一个企业名称、数据库名称、或者只在原业务中出现过的变量名用findstr或编辑器搜索。如果这些字符串能搜到说明解出来的内容确实是原源码反之则可能是混淆层没被完全剥干净。有一个技巧ionCube 加密后原始 PHP 中的中文注释通常会被转为 Unicode 编码解码后显示为乱码这不一定代表失败可以找英文字符串做验证。第三步对照行为验证。把解码后的文件放到一个隔离的 Web 环境中访问对应页面看输出是否和原加密文件一致。如果输出不同检查是不是解码时不小心把某些字符串中的转义序列改变了。我自己遇到过一个 V18 样本加密时启用了“外部变量保护”解码后文件头部多了一段$_SERVER的环境检查代码这实际上是正常现象运行时会自动跳过。最后一个预警解码器不是万能的遇到超出 V18 特征范围的文件比如加了自定义混淆壳或动态 key 的变种会直接失败。此时不要硬猜应当回到文件的十六进制头部记录下魔数和版本字段搜索确切的字段组合确认这个变种是否已被社区逆向。如果你的解码器面对某类文件稳定失败反而说明它已经触及了当前特征的边界补上这个边界你的工具链才算真正完整。本文还有配套的精品资源点击获取