Convertir un script bash en un exécutable binaire autonome compilé, pas en texte

Je voudrais jeter un œil à un projet nommé shc (Shell script compiler).

https://github.com/neurobin/shc

Il prend un script shell et le compile en code source C. Le code source C peut ensuite être compilé avec un compilateur C standard en un exécutable binaire.

Cela vous permet d'exécuter le script que vous avez créé sans que le contenu du script shell ne soit immédiatement révélé en clair. Ce serait un exécutable binaire comme tant d'autres.

Il pourrait falloir un peu d'essais et d'erreurs pour faire analyser votre script spécifique par shc en fonction des fonctionnalités avancées que vous utilisez dans votre script bash, mais cela devrait vous mener la plupart du chemin.

Notez que le programme crypte vraiment votre script shell et l'intègre dans le binaire. Lorsque le binaire est exécuté, le script est décrypté et exécuté à nouveau à l'aide d'un shell ordinaire. Pour les programmeurs, il serait trivial de casser cela pour révéler le contenu de votre script, mais pour cacher le contenu du script à l'utilisateur domestique moyen, cela serait peut-être suffisant.

Si vous avez HomeBrew installé, vous pouvez installer shc en exécutant la commande suivante dans le Terminal :

brew install shc

Ensuite, il suffit d'exécuter shc pour convertir votre script en binaire :

shc -U -f myscript.sh -o mybinary

La commande mybinary est alors le produit fini.

Bash est techniquement un langage interprété, il n'est pas compilé; il n'est pas possible de le compiler.

Bash est le shell, ou interpréteur de commandes, pour le système d'exploitation GNU.

Cependant, il est possible de l'obfusquer pour que les regards curieux ne puissent pas lire votre script.

Utilisez openssl pour encoder le fichier.

J'ai créé un simple fichier script Zsh appelé arraytest.sh qui s'exécutera dans Zsh (c'est ce que j'avais disponible à ce moment-là). Je ne vais pas poster le script shell réel, à la place, je vais poster l'encodage en base64.

Sur mon ordinateur, j'exécute la commande suivante sur mon script et obtiens les résultats suivants:

% openssl base64 < arraytest.sh

IyEvYmluL3pzaAoKZGVjbGFyZSAtQSBwcm9ncz0oW2dzXT0iR2hvc3RzY3JpcHQi
IFtic109IkJ1bGxzaGl0IiBbYWJdPSJWb2RrYSIpCgoKbGV0IGFzaXplPSR7I3By
b2dzW0BdfQpsZXQgYnNpemU9JGFzaXplLTEKbGV0IGk9MQpmb3IgeCBpbiAiJHtw
cm9nc1tAXX0iOwpkbwogIGlmIFsgJGkgLWVxICRic2l6ZSBdICAgCiAgdGhlbgog
ICBwcmludGYgIiR4IGFuZCAiCiAgZWxpZiBbICRpIC1sZSAkYnNpemUgXSAmJiBb
ICRpIC1nZSAxIF0KICB0aGVuCiAgICBwcmludGYgIiR4LCAiCiAgZWxzZQogICAg
cHJpbnRmICIkeCIKICBmaQogICgoaSsrKSkKZG9uZQoKcHJpbnRmICIuXG4iCmVj
aG8gRG9uZS4KCg==

Cet sortie doit être enregistrée dans un fichier. Appelons-le monscriptencodé. Vous pouvez le copier et le coller dans un nouveau fichier. Vous n'avez pas besoin de le rendre exécutable. Une fois que vous avez copié ce script dans votre presse-papiers, exécutez la commande suivante

% pbpaste > monscriptencodé

Maintenant, vous devriez avoir un fichier appelé monscriptencodé. Ensuite, pour l'exécuter, vous devez renvoyer cet encodage via openssl pour le décoder, puis le rediriger vers votre shell.

% cat monscriptencodé | openssl base64 -d | zsh

Cela devrait exécuter le script et générer une sortie à partir d'un tableau associatif.

Alors, comment pouvez-vous rendre cela autonome?

#!/bin/zsh
#
#Nom du Script:  script_encodé.sh

code="IyEvYmluL3pzaAoKZGVjbGFyZSAtQSBwcm9ncz0oW2dzXT0iR2hvc3RzY3JpcHQi
IFtic109IkJ1bGxzaGl0IiBbYWJdPSJWb2RrYSIpCgoKbGV0IGFzaXplPSR7I3By
b2dzW0BdfQpsZXQgYnNpemU9JGFzaXplLTEKbGV0IGk9MQpmb3IgeCBpbiAiJHtw
cm9nc1tAXX0iOwpkbwogIGlmIFsgJGkgLWVxICRic2l6ZSBdICAgCiAgdGhlbgog
ICBwcmludGYgIiR4IGFuZCAiCiAgZWxpZiBbICRpIC1sZSAkYnNpemUgXSAmJiBb
ICRpIC1nZSAxIF0KICB0aGVuCiAgICBwcmludGYgIiR4LCAiCiAgZWxzZQogICAg
cHJpbnRmICIkeCIKICBmaQogICgoaSsrKSkKZG9uZQoKcHJpbnRmICIuXG4iCmVj
aG8gRG9uZS4KCg=="

echo "$code" | openssl base64 -d | zsh

Enregistrez ce script sous le nom de script_encodé.sh, rendez-le exécutable puis exécutez-le avec la commande ./script_encodé.sh

Bonus...

(Cela suppose un scénario où un administrateur doit exécuter un script discrètement sur une ou plusieurs machines sous sa responsabilité.)

Si vous voulez vraiment cacher cela aux "regards curieux", utilisez cette commande en une seule ligne:

% openssl base64 < script.sh | ssh utilisateur@hôte.domaine ' openssl base64 -d | bash'

Cela va encoder le script, le rediriger à travers une connexion SSH où il décode le script et le passe à l'interpréteur de commandes.

Obfusque le code
Aucun outil tiers nécessaire
Multiplateforme (testé de l'hôte macOS au distant FreeBSD)
Pas besoin de définir le bit exécutable (chmod +x)
Gatekeeper sur macOS est rendu inopérant car ce n'est pas une application qui doit être notariée ou explicitement autorisée par l'utilisateur.

Évidemment, vous avez besoin d'un compte sur le distant et, bien que pratique, mais pas obligatoire, des clés SSH activées pour ne pas avoir à entrer un mot de passe, surtout si vous exécutez ceci sur un lot de machines.

Note: Cela a été fait en Zsh avec un tableau associatif. Cela peut fonctionner en Bash mais vous aurez besoin d'au moins la version 4 de Bash pour fonctionner correctement. Il n'y a rien de malveillant dans le script. Il affichera 3 mots et ensuite, sur une nouvelle ligne, le mot "Terminé" pour indiquer que le script est terminé.

Si vous voulez vérifier que le code vient vraiment de moi, créez un fichier appelé monscriptencodé dans vi, collez le code (sans guillemets), assurez-vous d'appuyer sur "I" pour "Insérer" avant de coller, enregistrez-le et exécutez la commande et vérifiez le hachage ci-dessous

% shasum -a 256 monscriptencodé
d4fc6ce35480b0ace6ed0e1c910f1f40079a106b1914d767fa17ada02a422f88  monscriptencodé

Cela fonctionnera uniquement si vous utilisez le même nom de fichier. J'ai testé ceci sur plusieurs plates-formes sur macOS et sur FreeBSD. Si vous n'obtenez pas le même hachage, faites-le moi savoir.

Je ne sais pas si cela fera ce que vous voulez mais l'application gratuite Platypus prendra un script en ligne de commande et le convertira en une application Mac. Fonctionne également avec Python, Perl et d'autres scripts. Vous pouvez en savoir plus en suivant le lien que j'ai fourni pour voir si cela fera ce que vous voulez. Remarque : En utilisant ma méthode, il est possible de voir le script original.

Tant que ce n'est pas complètement clair ce que vous recherchez réellement, voici ce que je suggère :

• Crée à partir d'un bash script une structure de bundle d'application avec un seul exécutable binaire qui ne contient pas sous une forme lisible par l'homme le code du script utilisé pour le créer.
• Se lance comme un bundle d'application macOS ordinaire tournant sous le nom du bundle d'application.
• N'ouvre pas de Terminal pendant son exécution.

Cela dit, cela peut quand même être interprété car si vous regardez les Fichiers et Ports Ouverts dans le Monitor d'activité pour par exemple le nom.app bundle d'application, /bin/bash est répertorié.

Il existe un projet GitHub nommé bashapp qui indique :

bashapp prend en entrée un script bash et génère un exécutable binaire ainsi qu'une structure de répertoire d'application OS X. Cela permet aux développeurs de fournir des scripts bash cliquables dans Finder sans que des terminaux apparaissent, etc. Utile pour les scripts de lancement, de service, etc.

Il fournit également un simple cryptage source comme moyen d'obscurcir le script bash. Vous pouvez spécifier votre propre clé, ou laisser bashapp générer une clé aléatoire de taille aléatoire pour vous, au moins 32 octets de long.

Vous devrez avoir les Outils en Ligne de Commande pour Xcode installés afin de compiler l'exécutable bashapp qui crée le bundle d'application. Voir : Comment Installer les Outils en Ligne de Commande dans Mac OS X (Sans Xcode) Ou dans Terminal exécutez : xcode-select --install

Cela dit, il y avait une chose ennuyeuse en cela : la Icône Dock pour l'application rebondit dans le Dock pendant son exécution. Une solution de contournement est de ne pas l'afficher dans le Dock en exécutant ce qui suit dans Terminal:

defaults write '/chemin/vers/$nom.app/Contents/Info.plist' LSUIElement -bool oui

Changer /chemin/vers/$nom.app selon votre besoin.