Published on Wednesday 17th 2007

Menembus keamanan enskripsi Ioncube, zend, source cop, source guardian, dan lain-lain...

Boleh saja pihak pembuat Software Ioncube, zend, source cop, source guardian dan lain-lain mengatakan bahwa metode enskripsi untuk file php milik mereka tidak bisa di tembus dan mereka mengatakan "Bila sebuah file Php sudah di enskripsi, maka itu adalah suatu hal yang mustahil untuk membalikan proses enskripsi tersebut.

Sebelum saya menjelaskan lebih jauh, bagusnya saya terangkan dulu apa itu ioncube, zend, source cop, dsb..

Ioncube, zend, source cop, dan source guardian adalah sebuah software untuk mengencode isi dari file php. biasanya enskripsi untuk file php di butuhkan bila anda ingin melindungi file-file php agar tidak bisa di pelajari oleh orang lain, atau dalam kasus keamanan, melindungi dari serangan cracker atau hacker yang iseng.

Berikut ini adalah contoh cara kerjanya.

== ini adalah isi dari file index.php yang BELUM di encode ==

<?php session_start(); //error_reporting( E_ALL ); $_CONFIG['db']['host'] = "localhost"; $_CONFIG['db']['user'] = "terserah"; $_CONFIG['db']['pass'] = "terserah123456"; $_CONFIG['db']['dbname'] = "situsku"; ?>
==akhir dari ini adalah isi dari file index.php yang BELUM di encode ==

Seperti yang anda lihat di atas, file php yang belum di encode bisa anda baca dengan mudah, dari file php yang belum di enskripsi di atas kita jadi mengetahui bahwa host dari situs tersebut adalah localhost, dan database user nya adalah : terserah, password : terserah123456, dsb.

Sedangkan file di bawah ini, adalah file yang sama, namun sudah di encode ( enskripsi ) oleh software ioncube.

==ini adalah isi dari file di atas yang SUDAH di encode ==

<?php //0420 if(!extension_loaded('ionCube Loader')){$__oc=strtolower(substr(php_uname(),0,3));$__ln='/ioncube/ioncube_loader_'.$__oc.'_'.substr(phpversion(),0,3).(($__oc=='win')?'.dll':'.so');$__oid=$__id=realpath(ini_get('extension_dir'));$__here=dirname(__FILE__);if((@$__id[1])==':'){$__id=str_replace('\\','/',substr($__id,2));$__here=str_replace('\\','/',substr($__here,2));}$__rd=str_repeat('/..',substr_count($__id,'/')).$__here.'/';$__i=strlen($__rd);while($__i--){if($__rd[$__i]=='/'){$__lp=substr($__rd,0,$__i).$__ln;if(file_exists($__oid.$__lp)){$__ln=$__lp;break;}}}@dl($__ln);}else{die('The file <b>'.__FILE__."</b> is corrupted.\nEncoded files are binary, so ensure that you use binary mode with FTP, and\ndisable \"TAR smart cr/lf conversion\" if using WinZIP\n");}if(function_exists('_il_exec')){return _il_exec();}die('The file <b>'.__FILE__.'</b> has been encoded with the <a href="http://ioncube.com/encoder/">ionCube PHP Encoder</a> and requires the free <a href="http://ioncube.com/loader/">ionCube PHP Loader</a> to be installed.'); ?> ƒ(¼?˜º•#a˜Ô˜¢D³PîZ·ºÙÒœb"å–Ç: ßÍîZÏòÖØ/ã6§‚à: ³PîZv ÝKÖW[Z²LD¼PG �Ñ¼×Mž®bØœëít²…RMKQ½3f3j–E-Ú”»zø‘)D‹¢ ‚tÕè)™Ú|ä*p‘›ÖR› ‚¨]›þ@�£Mû _à"»£3õ¸”^8¼{ï9çq3 S—×“oÓÌÕQèØ/@sº%Âo©ay fä ìmŒs\þ)W¿ì!+ CÎA‘•$ì{ˆ ²’Œ}DVòaßC±" Žw9ñ@àÎÙ¯N'ˆ§G»¼Àe°ûBrx™ðCä�ù·{¿§ßÖo;{WÏßIýö~áãô^ÂïÈ?LfêWI~©ßÖÑ~“ü2É/}ÙÑ¸záùýd¦þ’?ÐÇoë$ÿÉ ú&b”Ó ß�”ÌÔ�KòõñÛú;ç›¸úÉ?Fô\>ÁÙåžÂ²€óóËg²}ß~ÆÕë;;WtV¯×Y©Z)Xy-Æ´J¡ªj:Óµ3K3Lƒ%Ói]JE—Xå2–J&Y©ÂLdjÅ®îî¬on€š‡bÕ0¡\-(ånÇ1–¡é`j:J‘'jŠaüÑXŸ±˜äi5_QN50J¦eœØ¿ÌÍCq®áÿ
==Akhir dari ini adalah isi dari file di atas yang SUDAH di encode ==

Seperti yang anda lihat bukan, file yang sama namun sudah di encode pakai software ioncube akan sulit untuk anda baca.

Bila Anda baca di situs ioncube.com, di bagian FAQ mereka mengatakan adalah suatu hal yang mustahil untuk mengembalikan seperti semula file yang sudah di enskripsi. berikut saya kutip pernyataan mereka.:

How secure is ionCube Encoding?

A. In short, very! The strength of ionCube security comes from:

Encoding compiled binary code rather than plain text source
From using a secure execution engine at runtime
From implementing protection against reverse engineering into our products themselves.

This care and attention to security quite simply sets us apart from the competition, and produces both well protected files and a well protected product that further helps to protect the security of your encoded files. Here are some important details.

Can encoded files be restored to original source?

A. No. Unlike systems that just hide source, it's impossible to restore your original source code because the source code and comments are eliminated even before the files are encoded! As encoded files contain no source, even when decoded, there is no source to be exposed.

This is very different to source based systems that just encode obfuscated sources, where accessing source with such systems is trivially easy at runtime, even if protected with a "key".

There is, however, no such thing as 100% security to anything, but our approach to add security at many stages provides a formidable challenge to any aspiring hackers wishing to learn about how your protected scripts work!

Jujur, saya sangat terkesan dengan konsep mereka, mengubah file php menjadi byte code, belum lagi loader ioncube dan zend yang sekarang ini rata-rata sudah terpasang di semua server situs. Yang menunjukkan bahwa konsep keamanan yang mereka terapkan di terima oleh system admin. ( sysadmin ) yang secara sukarela menginstall loader dari produk mereka di server hostingnya.

Belum lagi masalah harga yang membuat saya terheran-heran, bila anda ingin membeli software ioncube anda perlu menyediakan dana tidak kurang dari $199 / komputer ( bila di rupiahkan sekitar 1,8 jutaan )

So, buat yang menjadi customer Ioncube, source guardian, source cop, zend , dsb siap-siap kecewa, karena file-file php yang sudah di enskripsi ternyata bisa di kembalikan seperti semula. dan tidak sesuai dengan janji pembuat software tersebut yang mengatakan membalikkan proses adalah suatu hal yang mustahil.

Saya tidak akan terlalu vulgar untuk membeberkan rahasia bagaimana mengembalikan seperti semula file php yang sudah di encode pakai ioncube, source cop, source guardian, dsb.. terlalu riskan mengingat jumlah admin website yang memakai ioncube, source cop, source guardian, dsb mencapai ribuan orang, artinya ribuan situs terancam bila rahasia ini di paparkan dengan gamblang.

Namun saya kasih petunjuknya , bagaimana melihat source asli dari file php yang sudah di enskripsi oleh software diatas.

1. Pastikan anda bisa menjalankan file yang akan di lihat sourcenya, misal, bila file tersebut adalah file ioncube, maka pastikan anda punya loader ioncube.
2. Buatlah file php , dan masukan perintah " printf()" agar anda bisa menge PRINT php code di browser, atau menyimpan hasil print php code tersebut sebagai output.
3. selesai.

Gampang sekali bukan ? , tidak sesuai dengan janji, maupun harga dari software tersebut, hanya gara-gara perintah print php code.

Solusi

Saya pikir penggunaan enskripsi dengan memakai software di atas adalah suatu hal yang tidak berguna, jauh lebih baik bila anda membuat program enksripsi dan key tersendiri untuk file php yang akan di lindungi, bukan software enskripsi public seperti diatas yang loader / key nya bisa di pelajari oleh siapa saja.

Salam Hangat

Zul Amri
Tambahan : Bila Anda membutuhkan jasa saya untuk men decode file yang di enskripsi oleh ioncube, zend, source cop, dsb kontak saya lewat email, harga per 1 file nego