shell加密工具shc的安装和使用

*更新

ubuntu18.04直接可以 apt-get install shc

使用

之前为了防止svn认证问题，都是直接把svn的用户名、密码写在脚本里面的。由于明文密码非常不安全，所以必须采取密文保存。
为了不影响原有脚本流程，采用了抽取svn命令为独立脚本，在这个脚本里面写上用户名和密码，并加密保存。

加密采用了shc这个工具进行。该工具采用arc4的方式加密数据，而且比较简单，运行之后会根据输入的脚本(svn.sh)生成两个文件：
svn.sh.x这个是加密后的可执行程序，svn.sh.x.c这个是那个可执行程序的C源码。最终运行只需要前面那个.x结尾的可执行程序即可。

简单说下我的使用，刚开始什么参数都不加，最终生成的.x文件为动态链接，虽然没有什么依赖，但是需要动态链接glibc。由于我本地的
glibc版本远大于服务器上的，所以导致这个文件无法运行，提示找不到GLIBC 2.6找不到。查看了帮助文档之后，可以通过设置CFLAGS
环境变量，修改编译参数，再加上其他参数，最终的命令为：

CFLAGS="-static" shc -v -T -r -f svn.sh

其中通过环境变量，让编译输出的.x文件变成静态链接，这样就不需要依赖主机的任何动态链接库；-v参数输出命令的详细输出；
-T参数增加traceable，让输出的可执行程序可追踪；-r参数生成可分发的二进制程序。

这样原先脚本执行svn，只要直接改成svn.sh.x，去掉原先的用户名、密码，这样密码就被加密保存了。

原理

shc采用arc4加密，在命令中，大致通过
– 处理输入参数
– 读取脚本
– 解析使用的shell
– 生成C源码文件
– 编译C源码文件
这几步完成。在生成源码文件的时候，会对内容进行arc4加密，C源码中重新进行arc4进行解密，最终通过execvp调用运行最终的脚本。

几个参数的大致实现：

-T

如果不设置这个变量，生成的可执行文件将不能被trace

void untraceable(char * argv0)
{
    char proc[80];
    int pid, mine;

    switch(pid = fork()) {
        case  0:
            pid = getppid();
            /* For problematic SunOS ptrace */
            #if defined(__FreeBSD__)
            sprintf(proc, "/proc/%d/mem", (int)pid);
            #else
            sprintf(proc, "/proc/%d/as",  (int)pid);
            #endif
            close(0);
            mine = !open(proc, O_RDWR|O_EXCL);
            if (!mine && errno != EBUSY)
                mine = !ptrace(PTRACE_ATTACH, pid, 0, 0);
                if (mine) {
                    kill(pid, SIGCONT);
                } else {
                    perror(argv0);
                    kill(pid, SIGKILL);
                }
                _exit(mine);
        case -1:
            break;
        default:
            if (pid == waitpid(pid, 0, 0))
                return;
    }
    perror(argv0);
    _exit(1);
}

首先fock一个进程，试图去通过ptrace调用挂载到新fock出来的进程上，如果成功了，说明没有被其他进程trace，则发送SIGCONT信号继续执行，
否则直接发送SIGKILL信号终止进程继续执行。但是在实际使用过程中，不知道为什么，偶尔会让服务器上多出T状态的进程，看上是因为ptrace调用
向进程发送了SIGSTOP之后，再次发送SIGCONT没有成功。因此后面都加上了-T参数，跳过这个不能追踪设置。当前这样会大大降低安全性。

-e

这个参数可以指定可执行程序失效时间，超过这个时间加密后的可执行程序将无法运行。实现也很简单直接把加密后的过期时间放在了生成的C代码前，
执行shell之前，会有

if (date[0] && (atoll(date)<time(NULL)))
    return msg1;

这样的判断，直接阻止程序的运行。

1) 工具说明

shell脚本是可读写的, 很有可能会泄露敏感信息, 如用户名/密码/路径/IP等. 同样在shell脚本运行时会也泄露敏感信息. shc是一个加密shell脚本的工具, 它的作用是把shell脚本转换为一个可执行的二进制文件. 这就很好的解决了上述问题.

2) 下载安装

下载: http://www.datsi.fi.upm.es/~frosal/sources/shc-3.8.6.tgz

安装:

# mkdir -p /orahome/wangnc/shc && cd /orahome/wangnc/shc

# rz  (上传安装包shc-3.8.6.tgz)

# mkdir /usr/local/man/man1/ (install时会把man文件放入该目录,如果该目录不存在需提前建好)

# tar vxf shc-3.8.6.tgz && cd shc-3.8.6

# make test

# make strings

# make install

***     Installing shc and shc.1 on /usr/local

***     Do you want to continue? <输入y>

install -c -s shc /usr/local/bin/

install -c -m 644 shc.1 /usr/local/man/man1/

用法:

# which shc

/usr/local/bin/shc

# shc

shc parse(-f): No source file specified

shc Usage: shc [-e date] [-m addr] [-i iopt] [-x cmnd] [-l lopt] [-rvDTCAh] -f script

3) 加密脚本

# shc -v -f test.sh

-v是verbose模式, 输出更详细编译日志; 

-f 指定脚本的名称.

$ ll test*

-rwxr-xr-x  1 Oracle oinstall   1178 Aug 18 10:00 test.sh

-rwx--x--x  1 oracle oinstall   8984 Aug 18 18:01 test.sh.x

-rw-r--r--  1 oracle oinstall  14820 Aug 18 18:01 test.sh.x.c

$ file test.sh.x

test.sh.x: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), for GNU/Linux 2.2.5, dynamically linked (uses shared libs), stripped

可以看到生成了动态链接可执行二进制文件test.sh.x和C源文件testup.sh.x.c, 注意生成的二进制文件因为是动态链接形式, 所以在其它平台上不能运行.

4) 生成静态链接的二进制可执行文件

可以通过下面的方法生成一个静态链接的二进制可执行文件:

$ CFLAGs=-static shc -r -f test.sh

$ file testup.sh.x

5) 通过sch加密后的脚本文件很安全吗?

一般来说是安全的, 不过可以使用gdb和其它的调试工具获得最初的源代码. 如果需要更加安全的方法, 可以考虑使用wzshSDK. 另外shc还可以设置脚本的运行期限和自定义返回信息:

$ shc -e 03/31/2007 -m "the MySQL backup scrīpt is now out of date." -f test.sh

-e表示脚本将在2007年3月31日前失效, 并根据-m定义的信息返回给终端用户.