Turck MMCache bzw Turck Loader Decoder gesucht

[Deleted member 11691]

Hallo,

wir haben folgendes Problem:
Vor ein paar Jahren hatten wir einen Mitarbeiter bei uns in der Firma, welcher uns für unsere Kunden ein kleines System geschrieben hat, mit welchem wir alles mögliche (Kundenstammbaum, Rechnungen, etc.) verwalten können. Der Mitarbeiter ist vor wenigen Jahren dann auch ausgetreten, hat uns aber die Software dagelassen. Folgendes Problem existiert:
Die Original-Software die er geschrieben hat (ist übrigens PHP) hat er uns unkodiert dagelassen.
Die speziell für uns erweiterte Software hat er mit Turck encryptet und so können wir hier in der Firma nicht mehr weiter daran programmieren.
Eine Datei sieht z.B. wie folgt aus:

<?php if (!is_callable("mmcache_load") && 
!@dl((PHP_OS=="WINNT"||PHP_OS=="WIN32")?"TurckLoader.dll":"TurckLoader.so")) 
{ die("This PHP script has been encoded with Turck MMcache, to run it 
you must install <a href=\"http://turck-mmcache.sourceforge.net/\">Turck 
MMCache or Turck Loader</a>");} return 
mmcache_load('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
 lAxHnhs
ORTgCRkWGW/m6EvhxiZKeHgsVQZCxqY3tgcBNTpileLsLQwrnMMgwlu5Z7mfD/QxOAyT9qjELvxoxBOLbCLxalc1aUIHIzJ9GDlbBc7ficDyqoLklXCcWVsJy+ZydiDQzQimwvAIMTAQgciy1b0b+cDG2gufvtd4hsCHGmzW8aryVfF1mqEa8TijflqD8lAqZhcO8ClkByceLxS/crUCpk68Ty5clLOcaa5UVQHy0cDK2YyoQbkvXCeBBGUC/vyKCeyUf80G3A6oqXieGOxWV+irxX0+otzJJroCVb7d0l4BbxkD72IsH/yfQ1csP/lGKB4csFQDL9fd8SReWyitJSHN7g8B153ecIAAaZT+Fs55laVhfdM+O+fzkK9fYec0to/LbVEZm6LlPn25uurDlyMEQCvTvfjiAKmM/NwQNVO22Ovt4Teu27K0O69goiCCzY62h0ppf7LqU5igJ+QsUnQmc');?>

Turck ist (wie ich gelesen habe) leider nicht weit verbreitet, sodass es nicht sehr viele verfahren gibt, das zu entschlüsseln.

Wäre aber doch sehr toll, falls jemand weiß wie das geht, mir einen Tipp geben könnte, wie ich das ganze decodiere.

L.G. PCFreund

 

[d4f]

Turck ist (wie ich gelesen habe) leider nicht weit verbreitet

Das koennte eventuell damit zu tun haben dass der letzte Commit im Jahre 2003, also vor 9 (!!!!) Jahren war und nur unter dem seit 4 Jahren(!!) nicht mehr unterstuetzten PHP4 korrekt funktioniert.
Ausserdem kompiliert es auf ANSI-C strikten Compiler schlicht gar nicht...

Falls du eine entsprechende PHP-Binary noch hast kannst du versuchen mit VLD die Logik zu extrahieren, mit viel Gebastel kriegst du vermutlich den Algorithmus wiederhergestellt.

Da aber vermutlich aufgrund des Alters, der Aenderungen in PHP und des Fakts dass es sich um inline-Code handelt (soviel kann man durch gzuncompres(base64_decode()) rausfinden) ein Neuanfang vermutlich billiger wird als Wartung weiss ich nicht ob es viel Sinn macht.

Alternativ kannst du, da eAccelerator auf MMCache basiert und dessen ehermaliger Loader von diesem uebernommen wurde, versuchen eine auf eAccelerator-Decoding spezialisierte Seite wie diese zu beauftragen. Billig wird es aber nicht...

Es handelt sich uebrigens um Opcode-Code, die Struktur, Kommentare, Funktionsnamen und Variablennamen sind also SEHR wahrscheinlich verloren. In Anbetracht meiner obigen Statements bezgl. des Codes ist also Wartung eh zwecklos.

 

[GwenDragon]

Es ist ziemlich unfein, wenn ein interner Mitarbeiter die Sourcen seines Arbeitgebers mitnimmt und nur den Binärcode dalässt. War es ein externer, lag es wohl eher an der Ausgestaltung des Auftrags und dem daraus folgenden Pflichten/Latsneheft und dem Software(überlassungs)Vertrag.

Warum wendet ihr euch nicht an den Autor der Software, die er euch erweitert hat? Der muss doch das Original haben.