20

Existe alguma forma de transformar arquivo PHP em bytecode ou algo similar, e depois executá-lo de forma nativa? Preciso que alguns arquivos em um sistema fiquem pré-compilados por conta de performance em alguns casos, e "segurança" contra olhares curiosos em outros.

Pesquisando, encontrei os arquivos PHAR, mas não descobri se eles são puramente um pacote descompilável como um .jar, ou se são bytecode.

2 Respostas 2

19

TL;DR

Uma técnica simplista que você pode usar para se proteger "contra olhares curiosos" e ter um tipo básico (baixo) de "segurança" é ofuscar o código.

É possível obter uma segurança mais elevada com ofuscadores de bytecode, entretanto as ferramentas disponíveis (que eu conheço) são pagas e exigem a instalação de extensões no PHP, o que não seria possível em hospedagens compartilhadas, por exemplo.

Motivação

Particularmente, há vários anos eu usava uma técnica simples de ofuscação quando desenvolvi um CMS (Content Management System) próprio que era instalado em sites de vários clientes, ou seja, hospedagens que estavam em poder dos mesmos. Isso foi na época em que a extensão PHAR ainda era experimental.

Meu objetivo com a ofuscação era evitar que um "sobrinho" qualquer (pseudo-webdesigner) que soubesse usar cliente de FTP começasse a fuçar no sistema, tentar copiar para outro site, etc. Na verdade, já ocorreu de um cliente curioso, dado a entendido, bisbilhotar o fonte para tentar burlar certas validações. Então, era um tipo de "segurança for dummies".

Implementação Simplista

Eu sabia que a "segurança" obtida via ofuscação era apenas contra bisbilhoteiros sem capacitação em programação, então usei uma técnica muito simples.

Primeiro instalei o Phing, uma espécie de Ant para PHP, de forma que eu pude automatizar o processo de ofuscação.

Depois eu criei uma task onde, para cada arquivo:

  1. Usava o método php_strip_whitespace para limpar o código-fonte.
  2. Codificava o conteúdo em base 64 e colocava-o numa String.
  3. O resultado era colocado em um novo arquivo numa estrutura de pastas paralela, que usava um eval para conseguir executar o código.

O código era muito parecido com este, que achei no SOEN:

<?php
$infile=$_SERVER['argv'][4];
$outfile=$_SERVER['argv'][5];
if (!$infile || !$outfile) {
    die("Usage: php {$_SERVER['argv'][0]} <input file> <output file>\n");
}
echo "Processing $infile to $outfile\n";
$data="ob_end_clean();?>";
$data.=php_strip_whitespace($infile);
// compress data
$data=gzcompress($data,9);
// encode in base64
$data=base64_encode($data);
// generate output text
$out='<?ob_start();$a=\''.$data.'\';eval(gzuncompress(base64_decode($a)));$v=ob_get_contents();ob_end_clean();?>';
// write output text
file_put_contents($outfile,$out);

A maior diferença é que originalmente eu não capturava a saída numa variável nem usava compressão.

Note que essa é uma abordagem extremamente simplista. Por exemplo, essa técnica não leva em consideração o desempenho. No exemplo pessoal que citei não houve impacto perceptível, mas se houver volume de acessos e/ou uma quantidade razoável de arquivos essa deve ser uma preocupação. Além disso, é fácil para um desenvolvedor descompilar o código original.

Soluções de "mercado"

Ao invés de reinventar a roda, existem algumas ferramentas que você pode usar para fazer a ofuscação. Na verdade, algumas chegam a armazenar e ofuscar o bytecode, o que vai de encontro com a parte da pergunta que se refere ao desempenho.

Note que não tenho experiência com essas ferramentas, já que elas nem existiam quando eu precisei. Porém, sugiro que faça alguns testes e verifique por si mesmo, tentando reverter a ofuscação, se você é capaz de fazê-lo e com qual dificuldade. Além disso, calcule a diferença no tempo de uma solicitação ao usar um código "normal" e um código "compilado" ou ofuscado.

POBS

Um ofuscador de código livre que, além de ofuscar o código em geral, altera nomes de funções e variáveis de modo a dificultar a leitura mesmo que se consiga fazer a engenharia reversa.

PHP Protect

Uma ferramenta gratuita que processa todos os scripts em uma pasta. Provavelmente usa uma técnica simples de ofuscação.

Thicket Obfuscator for PHP

Ferramenta paga. Diz usar uma técnica diferente para melhorar o desempenho do script ofuscado.

IonCube PHP Encoder

Ferramenta paga que possibilita armazenar o bytecode, criptografá-lo, ofuscá-lo, acrescentar um tempo de expiração, restringir o uso a um MAC Address, etc. Ela já possui uma task Phing chamada IoncubeEncoderTask para processar os arquivos automaticamente.

Esta é uma das ferramentas mais completas da categoria. Entretanto, para execução dos arquivos codificados, é necessário instalar uma extensão no PHP. Logo essa solução é inviável para shared hosts.

Zend Guard

Ferramenta paga da Zend (empresa que desenvolve o PHP) que permite ofuscar o código e proteger a execução do script de diversas formas (semelhante ao descrito anteriormente no IconCube).

Considerações

Nenhuma proteção garante 100% de segurança. Mesmo as melhores soluções pagas apresentadas acima não são 100% seguras. O site zendecode.com, por exemplo, afirma descompilar instantaneamente código do Zend Guard e IconCube.

Enfim, em minha opinião, a melhor proteção não está no código, mas em oferecer serviços com qualidade e excelência. Afinal, para nossa felicidade ou infelicidade, não existem muitos fornecedores de software bons por aí e copiar seu código (a não ser que este contenha alguma informação sigilosa) não vai dar muitas vantagens competitivas para possíveis concorrentes.

1
  • 1
    O link do POBS está quebrado, eu achei no GitHub mas não sei se é o mesmo que havia referenciado. github.com/Eccenux/POBS
    – user35937
    22/12/2015 às 16:21
7

Não, phar não é bytecode, entenda o que pode ser feito baseado na necessidade:

DIstribuição Facilitada

phar

É na verdade um pacote contendo os arquivos, não é de fato compilado ou bytecode, foi desenvolvido para ajudar a distribuição de sistemas.

Performance

APC

Extensão do PHP que pode pré compilar arquivos PHP no cache bytecode, veja mais na documentação

HHVM

Projeto opensource iniciado pela Facebook, compila os arquivos PHP em tempo de execução. Trata-se de uma implementação alternativa do PHP voltada para performance

Zephir

Linguágem para se definir funções e classes php compiláveis em C, e as expor através de extensões ao php, basicamente você escreve as classes e funções de forma similar ao PHP (a syntaxe é um pouco diferente) e as compila como uma extensão, um grande exemplo é o framework phalcon que é inteiramente compilado e é instalado como extensão a sua intalaç˜åo do PHP

Segurança

IonCube e ZendGuard

Ferramentas proprietárias que criptografam seu código para impedir o fonte de ser lido diretamente (são lidos apenas pela engine dos mesmos instaladas junto a seu php)

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .