Охрана PHP скриптов: практические приёмы

Дополнительные расширенные примеры по каждому методу.

Пример 1: Обфускация с помощью php-obfuscator (библиотека)

Исходный код: простой класс для работы с пользователями.

<?
class User {
    private $name;
    private $email;
    public function __construct($name, $email) {
        $this->name = $name;
        $this->email = $email;
    }
    public function getInfo() {
        return "Name: {$this->name}, Email: {$this->email}";
    }
}

$user = new User('John', 'john@example.com');
echo $user->getInfo();
?>

После обфускации с помощью php-obfuscator (установка: composer require ph-7/php-code-obfuscator):

<?
class A{private $B;private $C;public function __construct($D,$E){$this->B=$D;$this->C=$E;}public function getInfo(){return "Name: {$this->B}, Email: {$this->C}";}}
$F=new A('John','john@example.com');echo $F->getInfo();
?>

Вывод: Name: John, Email: john@example.com

Код выполняет ту же функцию, но чтение исходной логики затруднено. Однако все имена могут быть восстановлены с помощью профайлера.

Пример 2: Кодирование кода в Base64 с eval и строковым ключом

Распространённый способ скрыть вызов функции.

// Исходный код, который нужно скрыть
function showSecret() {
    echo 'Секретный текст';
}

// Кодирование
$code = base64_encode('showSecret();');
eval(base64_decode($code));
?>

Вывод: Секретный текст

Если злоумышленник увидит строку Base64, он легко её раскодирует: echo base64_decode('...');. Дополнительно можно применить XOR-шифрование, но это всё равно слабая защита.

Пример 3: Проверка лицензии с удаленным сервером и локальным ключом

Вариант с запросом к серверу лицензий и проверкой контрольной суммы файла.

<?
$domain = $_SERVER['HTTP_HOST'];
$licenseKey = 'XXXXXXXX-YYYY-ZZZZ'; // Ваш ключ
$response = file_get_contents("https://api.license.com/verify?domain={$domain}&key={$licenseKey}");
$data = json_decode($response, true);
if (!$data || $data['status'] !== 'active') {
    exit('Доступ запрещен: лицензия недействительна');
}
// Проверка целостности кода (например, хеша)
$hash = md5_file(__FILE__);
$expectedHash = 'abc123...'; // задаётся при поставке
if ($hash !== $expectedHash) {
    exit('Файл был изменен');
}
// Далее основной код
?>

Вывод: При успешной проверке выполняется код, иначе сообщение об ошибке.

Недостатки: код проверки сам может быть изменён, если не зашифрован. Рекомендуется комбинировать с ionCube.

Пример 4: Шифрование с помощью php-beast (результат работы)

Создаём простой файл secret.php:

<?
echo 'Этот код защищен php-beast';
?>

Шифруем:

php beast_encode.php -f secret.php -p mypassword

После шифрования файл secret.php изменяется, и его содержимое становится бинарным:


... (нечитаемые символы)

При выполнении с установленным beast.so и правильным паролем (пароль задаётся в конфигурации или передаётся через константу) выводится:

Этот код защищен php-beast

Если пароль неверный, расширение выдаст ошибку.

Пример 5: ionCube закодированный файл (внешний вид)

Исходный файл simple.php:

<?
function hello() {
    return 'Hello, ionCube!';
}
echo hello();
?>

После кодирования:

<? // ionCube Encoder 13.0.0
?>
... (длинный двоичный блок)
?>

Вывод после выполнения: Hello, ionCube! (только при установленном ionCube Loader)

Текстовые редакторы не показывают исходный код, только сигнатуру и бинарные данные.