sourceguardian加密php文件可通过识别版本、ai平台解密、动态执行捕获或gdb内存提取四种方法解密，需匹配sg版本并确保loader环境兼容。
如果您获取到一个被SG系列工具加密的PHP文件，但无法直接阅读或修改源码，则可能是由于SourceGuardian采用高强度编码与加载隔离机制。以下是针对该类加密文件的多种解密方法：
一、识别SG加密版本与特征
准确判断加密格式是后续解密的前提。SG系列（sg1、sg2、sg7、sg11、sg16）在文件头、函数调用及扩展依赖上存在明显差异，错误识别将导致解密路径失效。
1、使用十六进制编辑器（如HxD或xxd）打开加密PHP文件，检查前32字节是否存在“SG11”、“SG16”等明文标识；
2、搜索文件中是否包含sg_load、sourceguardian、ixed.等关键字，确认是否为SourceGuardian原生加密；
立即学习“PHP免费学习笔记（深入）”；
3、观察是否含有eval(gzinflate(base64_decode()结构——若存在，说明可能为手工混淆叠加SG保护，需分层处理；
4、在支持PHP的环境中执行php --ri sourceguardian命令，验证当前系统是否已安装Loader及其版本号，匹配加密格式兼容性。
二、利用AI驱动的在线解密平台
基于Kimi-K2模型构建的智能解密平台可自动适配SG11/SG14/SG15等主流格式，无需本地环境配置，适用于无调试权限或缺乏逆向经验的用户。
1、访问https://www.inscode.net并登录InsCode（快马）平台；
2、点击“新建项目”，选择“PHP SG解密工具”模板；
3、上传待解密的.phpsg或.php文件，系统自动识别加密类型并启动AI分析流程；
4、等待进度条完成，过程中Kimi-K2模型会逆向推导密钥生成逻辑、还原AES-256解密轮次及虚拟机指令映射；
5、解密完成后，页面显示原始缩进、注释位置与变量命名风格一致的PHP源码，点击“下载”获取纯文本文件。
三、动态执行+输出捕获法
该方法绕过静态解密限制，通过劫持运行时内存中的解密结果，适用于SG11/SG14等未启用强反调试机制的加密文件。
1、将加密PHP文件部署至本地PHP环境（建议PHP 7.4–8.2），确保已启用SourceGuardian Loader；
2、创建代理脚本proxy.php，内容为：<?php include 'encrypted.php'; ?>；
3、在PHP配置中启用output_buffering = On，并在proxy.php顶部添加ob_start();；
4、在proxy.php末尾插入：$content = ob_get_clean(); file_put_contents('decrypted.php', $content); echo "已保存至decrypted.php";；
5、访问proxy.php，Loader在内存中完成解密与执行后，原始PHP代码将被完整捕获并写入磁盘。
四、Loader扩展配合调试器提取
当目标文件为SG16且部署于linux服务器时，可借助GDB对SourceGuardian加载器进程进行内存转储，直接提取运行时解密后的opcode或源码字符串。
1、确认PHP进程PID：ps aux | grep php-fpm 或 pgrep -f "php.*.php"；
2、使用GDB附加进程：gdb -p [PID]；
3、在GDB中执行：set $buf = (char*)malloc(1024*1024)，再调用call (int)readlink("/proc/[PID]/exe", $buf, 1024*1024-1)定位加载器路径；
4、设置断点于sg_loader_execute或ixed_execute函数入口；
5、触发脚本执行后，在断点处执行dump binary memory decrypted.bin $rdi $rdi+0x10000，导出内存页；
6、使用strings decrypted.bin | grep -E "(function|class|<?php )"筛选出有效PHP结构片段。
五、离线反编译工具链还原
针对SG11及以下版本，存在成熟开源工具链可实现半自动反编译，不依赖网络服务或服务器权限，适合封闭环境使用。
1、下载sg11-decryptor工具集（GitHub公开仓库，commit时间早于2025年）；
2、执行python3 sg11-decrypt.py --input target.php --output plain.php；
3、工具自动检测并跳过文件头部校验字节，对AES-CBC模式密文块执行密钥爆破（仅限弱口令场景）；
4、若失败，启用--brute-force-keyspace small参数限定密钥空间范围；
5、对输出结果运行php -l plain.php验证语法有效性，无效则回退至--mode legacy启用多轮字符串替换还原引擎。