船说 CMS 源码加密了吗

学完这篇，你能自己动手判断手里这套船说 CMS 到底有没有加密、用的是哪种加密，并知道加密之外还有哪些"卡脖子"的地方。

第一步 先搞清楚"加密"其实有三种形态

同样叫"加密"，船说 CMS 的发行包里可能是三种完全不同的东西，先分清才不会白折腾：

1. 明文开源：所有 .php 文件用记事本打开都能看懂，这是最理想的情况。
2. 代码混淆：文件还是 .php，能直接运行，但变量名变成 $a1、$b2，逻辑被 eval 包起来。不需要装任何扩展，但基本读不懂。
3. 扩展加密：用 SourceGuardian（SG11）、ionCube、Zend Guard 这类工具加密过，文件开头是一堆二进制乱码，必须服务器装对应的 PHP 扩展才能跑，否则直接报 500。

注意：很多人说"船说加密了"，其实是第二种（混淆），只是打开一看是乱码就以为加密。两者的处理方式完全不同，一定要先分开。

第二步 用一条命令扫全站，30 秒出结论

把源码包解压到你本地或服务器任意目录，进入根目录执行：

grep -rn --include="*.php" -E "eval\(|base64_decode\(|gzinflate\(|str_rot13\(|sg_load|ionCube|SourceGuardian|zend_loader|goto " ./ | head -50

结果这么看：

• 输出为空 → 大概率是明文开源，可以放心读代码。
• 只匹配到 eval( 和 base64_decode( → 混淆型。
• 匹配到 sg_load 或 SourceGuardian → 是 SG11 加密，需要装 SourceGuardian Loader。
• 匹配到 ionCube → 装 ionCube Loader 才能运行。
• 匹配到 zend_loader → 装 Zend Guard Loader（只支持到 PHP 7.4 以下）。

再补一条，看哪个目录最"脏"：

grep -rln --include="*.php" "sg_load\|ionCube\|eval(" ./ | sed 's|/[^/]*$||' | sort | uniq -c | sort -rn | head -20

输出里数量最多的目录，就是船说加密最集中的地方。经验上，app/、extend/、vendor/ 下的核心业务文件是重灾区，public/、template/ 模板目录通常不加密。

第三步 直接看文件头，判断加密器型号

挑一个上面扫出来的文件，看前 200 个字节：

head -c 200 路径/文件名.php

• 开头是 <?php @sg_load( 或一段十六进制乱码 → SourceGuardian。
• 开头是 <?php //004a0 加一长串数字，紧跟 if(!extension_loaded('ionCube Loader')) → ionCube。
• 开头是 <?php @Zend; → Zend Guard。
• 开头还是正常 <?php namespace app\... → 只是混淆，没真加密。

再看一眼整体可读性：

php -r '$s=file_get_contents("路径/文件名.php"); $t=strlen($s); $n=preg_match_all("/[^\x09\x0a\x0d\x20-\x7e]/",$s); echo "总长 $t，非可打印字符 $n，占比 ".round($n/$t*100,1)."%\n";'

占比超过 30% 基本就是二进制加密了；低于 5% 说明是明文或轻度混淆。

注意：船说 CMS 不同下载渠道的包差别很大。官网商业版、淘宝买的"永久授权版"、各种论坛放出来的"去授权版"，加密程度可能完全不一样。同一个文件名在 A 包里是明文、在 B 包里是 SG11，这很正常。所以别信别人一句"加密了/没加密"，以你自己跑的第二步结果为准。

第四步 检查授权校验，这比加密更麻烦

有些包文件是明文的，但运行时照样报错，因为里面埋了授权校验。继续搜：

grep -rn --include="*.php" -E "gethostbyname|curl_exec|file_get_contents\(.http|check_auth|license|domain_check" ./ | head -30

重点看有没有把 $_SERVER['HTTP_HOST'] 或 $_SERVER['SERVER_NAME'] 取值后跟一个数组、配置文件或远程接口比对。这类代码通常藏在 app/common.php、extend/function/、config/ 附近。

如果发现它往 http://xxx.com/api/check 这种地址发请求，说明是远程授权，本地改文件不一定有用，得看它有没有做失败降级。

第五步 拿到结论之后怎么办

• 明文开源：直接读，正常二次开发。
• 混淆无扩展：可以用 PHP 反混淆工具（如 php-beast 的逆向脚本、unphp.net 在线版）还原出可读逻辑，但只能看，别指望还原成原始代码。
• SG11 / ionCube 加密：先按官方文档装 Loader（php.ini 里加 extension=ixed.7.4.lin 之类），能跑起来再说。想读源码，商业加密基本没有干净的还原路径，老老实实买授权拿源码包。
• 只想要功能不想读码：那加密与否对你影响不大，装好 Loader 能跑就行。

注意：破解商业授权、去掉版权校验这类操作，可能违反你购买时同意的许可协议。本文只讲"怎么识别"，不建议拿去商用或二次分发。

小结

1. 船说 CMS 有没有加密，没有统一答案，取决于你手里这个包的来源，必须自己验。
2. 一条 grep -E "eval\(|sg_load|ionCube" 就能区分明文、混淆、扩展加密三种情况。
3. 用 head -c 200 看文件头，能直接认出 SG11、ionCube、Zend Guard。
4. 非可打印字符占比是判断加密强度的量化指标，超过 30% 基本是二进制加密。
5. 加密之外还要查授权校验，grep 域名读取和远程请求是关键动作。
6. 扩展加密的源码基本无法还原，需要读源码就买正版授权包。