戰(zhàn)：從字符串引用拆解存檔封裝中的XOR、校驗(yàn)與壓縮)
1. 從一個(gè)存檔文件說起為什么需要拆解封裝層手里拿到一個(gè)二進(jìn)制存檔文件雙擊打不開用十六進(jìn)制編輯器看是一堆亂碼但文件頭幾個(gè)字節(jié)又隱約有規(guī)律——這種場景在逆向分析、數(shù)據(jù)恢復(fù)、老舊系統(tǒng)遷移里太常見了。標(biāo)題里說的沿字符串引用還原存檔封裝本質(zhì)上就是一條逆向工程的分析路徑你手上只有一堆字節(jié)但通過觀察文件里出現(xiàn)的字符串引用比如某個(gè)字段名、某個(gè)路徑片段、某個(gè)固定標(biāo)記反推出這個(gè)存檔是怎么被封裝的然后一層層剝開XOR混淆、校驗(yàn)和、壓縮這三層外殼最終拿到原始數(shù)據(jù)。這件事能解決什么問題舉個(gè)實(shí)際場景某款老工具生成的工程存檔原程序已經(jīng)找不到了但你需要把里面的配置數(shù)據(jù)導(dǎo)出來遷移到新系統(tǒng)。或者你在做安全分析拿到一個(gè)可疑的二進(jìn)制文件需要判斷它內(nèi)部是否藏了壓縮數(shù)據(jù)。再或者你在做數(shù)據(jù)恢復(fù)一個(gè)損壞的存檔文件需要先搞清楚它的封裝結(jié)構(gòu)才能定位損壞位置。這些場景的共同點(diǎn)是你沒有源碼沒有文檔只有一個(gè)二進(jìn)制文件和你的分析能力。適合誰來參考有一定二進(jìn)制分析基礎(chǔ)、會用十六進(jìn)制編輯器、了解基本壓縮格式zlib、gzip、lz4之類和校驗(yàn)算法CRC32、Adler32、簡單累加和的人。如果你完全沒接觸過二進(jìn)制分析這篇文章也能看懂思路但實(shí)操部分需要你補(bǔ)一些基礎(chǔ)知識。我會盡量把每一步的為什么講清楚而不是只丟一堆命令。整篇文章圍繞一條主線從字符串引用入手識別封裝層次逐層拆解XOR、校驗(yàn)、壓縮最終還原出可讀的原始數(shù)據(jù)。這條主線在逆向分析里是通用方法論不局限于某一個(gè)具體格式。下面我按實(shí)際操作的順序把每個(gè)環(huán)節(jié)拆開講。2. 封裝結(jié)構(gòu)的整體設(shè)計(jì)思路與識別方法2.1 為什么存檔要加這三層先說清楚一個(gè)前提不是所有存檔都會同時(shí)用XOR、校驗(yàn)、壓縮這三層。但一旦你遇到一個(gè)看起來有規(guī)律但讀不懂的文件這三層是最常見的組合。它們的職責(zé)分工很明確。壓縮層解決的是體積問題。原始數(shù)據(jù)可能是JSON、XML、或者結(jié)構(gòu)化的二進(jìn)制記錄直接存體積大用zlib或lz4壓一下能省很多空間。壓縮后的數(shù)據(jù)有個(gè)特征熵值高字節(jié)分布接近隨機(jī)但通常開頭幾個(gè)字節(jié)是固定的魔數(shù)比如zlib的78 9C、78 01、78 DA。校驗(yàn)層解決的是完整性驗(yàn)證。存檔在傳輸或存儲過程中可能損壞加一個(gè)CRC32或Adler32讀取時(shí)先校驗(yàn)再解壓能提前發(fā)現(xiàn)損壞而不是解壓到一半報(bào)錯。校驗(yàn)值通常緊挨著被校驗(yàn)的數(shù)據(jù)存放長度固定CRC32是4字節(jié)Adler32也是4字節(jié)。XOR層解決的是不想讓你直接看懂的問題。它不算真正的加密因?yàn)槊荑€往往很短且固定但足以讓直接打開文件的人看到亂碼。XOR的特點(diǎn)是同一個(gè)密鑰異或兩次就還原所以加密解密是同一個(gè)操作。密鑰可能是一個(gè)字節(jié)、一個(gè)固定字符串、或者一段循環(huán)使用的字節(jié)序列。三層疊加的順序通常是原始數(shù)據(jù) → 壓縮 → 加校驗(yàn) → XOR混淆 → 寫入文件。讀取時(shí)反過來讀文件 → XOR還原 → 校驗(yàn)驗(yàn)證 → 解壓 → 原始數(shù)據(jù)。但實(shí)際順序可能變比如先XOR再壓縮或者校驗(yàn)放在XOR之前。這就是為什么不能想當(dāng)然必須通過分析確認(rèn)。2.2 字符串引用為什么是最好的切入點(diǎn)二進(jìn)制文件里如果全是壓縮或XOR后的數(shù)據(jù)你確實(shí)什么都看不出來。但封裝結(jié)構(gòu)本身往往留有線索——這些線索就是字符串引用。具體來說一個(gè)存檔文件通常包含文件頭標(biāo)識版本、類型、元數(shù)據(jù)區(qū)記錄各個(gè)數(shù)據(jù)塊的位置和長度、數(shù)據(jù)區(qū)實(shí)際內(nèi)容。文件頭和元數(shù)據(jù)區(qū)往往不壓縮也不XOR因?yàn)槌绦蛐枰焖僮x取它們來定位數(shù)據(jù)。這些區(qū)域里就可能出現(xiàn)字符串比如固定的魔數(shù)標(biāo)記如SAVE、ARCH、PK\x03\x04zip的標(biāo)記字段名如version、checksum、offset、length路徑片段如config/、data/、.json、.bin錯誤信息或提示文本用十六進(jìn)制編輯器打開文件切到ASCII視圖掃一眼有沒有可讀字符串。更高效的方法是用strings命令Linux/macOS自帶Windows可以用Sysinternals的strings或者Git Bash里的提取所有長度≥4的可打印字符串然后觀察哪些像是結(jié)構(gòu)標(biāo)記。strings -a -t x savefile.bin | head -50-a表示掃描整個(gè)文件不只是數(shù)據(jù)段-t x表示輸出字符串在文件中的十六進(jìn)制偏移。這樣你能看到每個(gè)字符串出現(xiàn)在文件的什么位置位置信息非常關(guān)鍵——如果某個(gè)字符串出現(xiàn)在文件開頭附近它很可能是文件頭的一部分如果出現(xiàn)在中間可能是某個(gè)數(shù)據(jù)塊的標(biāo)記。2.3 從字符串位置反推結(jié)構(gòu)布局拿到字符串列表和偏移后下一步是推斷結(jié)構(gòu)。假設(shè)你看到這樣的輸出00000000 SAVE 00000010 version 00000020 checksum 00000030 data_offset 00000040 data_length 00000050 ...后面是亂碼這說明文件頭至少到0x50左右包含了版本、校驗(yàn)值、數(shù)據(jù)偏移和長度這些字段。每個(gè)字段后面跟著的實(shí)際值需要你去看十六進(jìn)制。比如version后面4個(gè)字節(jié)可能是01 00 00 00小端序的1checksum后面4個(gè)字節(jié)是校驗(yàn)值data_offset后面4個(gè)字節(jié)是數(shù)據(jù)區(qū)起始位置data_length后面4個(gè)字節(jié)是數(shù)據(jù)區(qū)長度。這里有個(gè)關(guān)鍵技巧字符串本身往往不是數(shù)據(jù)而是標(biāo)簽。程序讀取時(shí)先匹配標(biāo)簽再讀標(biāo)簽后面的值。所以你在十六進(jìn)制里看到的是標(biāo)簽值的交替排列。標(biāo)簽是ASCII值是二進(jìn)制。找到這個(gè)規(guī)律結(jié)構(gòu)就清晰了一半。注意有些格式的字符串是定長字段比如固定16字節(jié)不足補(bǔ)零有些是長度前綴前面1或2字節(jié)表示字符串長度。觀察字符串后面跟的是00還是長度值能判斷是哪種。2.4 判斷是否存在XOR層的三個(gè)信號不是所有文件都有XOR層。怎么判斷看三個(gè)信號。信號一字符串區(qū)域之外的數(shù)據(jù)熵值異常高但又不是壓縮格式。壓縮數(shù)據(jù)的熵值也很高但壓縮數(shù)據(jù)通常有魔數(shù)。如果你看到一段數(shù)據(jù)熵值高、沒有已知壓縮魔數(shù)、而且長度和某個(gè)字段比如data_length對得上那可能是XOR后的數(shù)據(jù)。信號二文件里有兩段相似但不完全相同的數(shù)據(jù)。比如兩個(gè)數(shù)據(jù)塊長度一樣內(nèi)容看起來都是亂碼但逐字節(jié)對比發(fā)現(xiàn)差異很小。這可能是同一份數(shù)據(jù)用不同密鑰XOR或者一份是XOR后的、一份是原始的用于對比分析。信號三已知明文攻擊。如果你知道原始數(shù)據(jù)里應(yīng)該包含某個(gè)固定字符串比如JSON開頭的{或XML開頭的?xml而文件里對應(yīng)位置是亂碼把亂碼和已知明文XOR就能得到密鑰。這是最直接的確認(rèn)方法。舉個(gè)例子假設(shè)data_offset指向的位置文件里是9A 8B 8C 8D而你預(yù)期原始數(shù)據(jù)開頭是7B 22 0A 20{加換行加空格逐字節(jié)XOR9A ^ 7B E1 8B ^ 22 A9 8C ^ 0A 86 8D ^ 20 AD得到密鑰片段E1 A9 86 AD。如果這個(gè)密鑰在文件其他位置重復(fù)出現(xiàn)或者用它對其他數(shù)據(jù)塊XOR后能得到可讀內(nèi)容那XOR層就確認(rèn)了。3. 核心細(xì)節(jié)解析XOR、校驗(yàn)、壓縮的拆解要點(diǎn)3.1 XOR層的密鑰識別與還原實(shí)操XOR還原的核心是找到密鑰。密鑰的形態(tài)有幾種按難度從低到高排列。單字節(jié)密鑰是最簡單的。整個(gè)數(shù)據(jù)區(qū)所有字節(jié)都異或同一個(gè)值。怎么找如果數(shù)據(jù)區(qū)里有一段你已知的明文比如文件末尾可能有固定的結(jié)束標(biāo)記拿密文和明文XOR就能得到密鑰?；蛘哂妙l率分析如果原始數(shù)據(jù)是文本空格0x20出現(xiàn)頻率最高密文里出現(xiàn)頻率最高的字節(jié)異或0x20就是密鑰。固定多字節(jié)密鑰稍復(fù)雜。密鑰是一個(gè)固定長度的字節(jié)序列循環(huán)使用。比如密鑰是KEY1236字節(jié)那么數(shù)據(jù)第1字節(jié)異或K第2字節(jié)異或E第7字節(jié)又異或K以此類推。識別方法是如果數(shù)據(jù)里有兩段相同明文被加密密文的差異會呈現(xiàn)周期性?；蛘哂靡阎魑墓舻玫矫荑€片段后觀察周期。變長密鑰最麻煩密鑰可能根據(jù)位置變化比如密鑰是位置索引的函數(shù)。這種情況通常需要結(jié)合程序邏輯分析純靜態(tài)分析很難。但實(shí)際遇到的存檔格式里變長密鑰很少見因?yàn)閷?shí)現(xiàn)復(fù)雜且沒必要。實(shí)操還原的步驟確定數(shù)據(jù)區(qū)的起始偏移和長度從文件頭字段讀取。提取數(shù)據(jù)區(qū)字節(jié)到單獨(dú)文件。用猜測的密鑰做XOR輸出結(jié)果。檢查結(jié)果是否有已知壓縮魔數(shù)或可讀文本。如果沒有調(diào)整密鑰或密鑰周期重復(fù)。def xor_decrypt(data, key): key可以是bytes或int if isinstance(key, int): return bytes(b ^ key for b in data) else: key_len len(key) return bytes(data[i] ^ key[i % key_len] for i in range(len(data))) # 示例單字節(jié)密鑰0x5A with open(data_section.bin, rb) as f: encrypted f.read() decrypted xor_decrypt(encrypted, 0x5A) with open(decrypted.bin, wb) as f: f.write(decrypted)實(shí)操心得XOR還原后先別急著解壓用xxd或十六進(jìn)制編輯器看一眼開頭。如果看到78 9C、1F 8B、04 22 4D 18這些魔數(shù)說明壓縮層就在里面。如果看到PK那是zip。如果看到可讀文本可能沒有壓縮層直接就是原始數(shù)據(jù)。3.2 校驗(yàn)層的識別與驗(yàn)證方法校驗(yàn)層的識別相對直接因?yàn)樾ｒ?yàn)算法就那么幾種而且校驗(yàn)值長度固定。CRC324字節(jié)多項(xiàng)式0xEDB88320反射或0x04C11DB7非反射。zlib、gzip、zip都用它。特征是校驗(yàn)值通常放在被校驗(yàn)數(shù)據(jù)的后面或前面小端序存儲。Adler324字節(jié)zlib的默認(rèn)校驗(yàn)和CRC32二選一。計(jì)算比CRC32快但碰撞概率稍高。特征是兩個(gè)16位部分低16位是累加和高16位是累加和的累加。簡單累加和1、2或4字節(jié)所有字節(jié)相加取模。老式格式常用。特征是值通常不大且改變一個(gè)字節(jié)對結(jié)果影響是線性的。MD5/SHA116或20字節(jié)用于強(qiáng)校驗(yàn)。特征是長度明顯比CRC長且看起來完全隨機(jī)。驗(yàn)證方法假設(shè)文件頭里有個(gè)checksum字段值是X。你把數(shù)據(jù)區(qū)提取出來用各種算法算一遍看哪個(gè)結(jié)果等于X。如果都不等可能校驗(yàn)范圍不是整個(gè)數(shù)據(jù)區(qū)而是數(shù)據(jù)區(qū)的一部分或者校驗(yàn)前先做了XOR。import zlib import hashlib data open(data_section.bin, rb).read() crc32_val zlib.crc32(data) 0xFFFFFFFF adler32_val zlib.adler32(data) 0xFFFFFFFF md5_val hashlib.md5(data).hexdigest() sha1_val hashlib.sha1(data).hexdigest() print(fCRC32: {crc32_val:08X}) print(fAdler32: {adler32_val:08X}) print(fMD5: {md5_val}) print(fSHA1: {sha1_val})注意校驗(yàn)值的字節(jié)序很關(guān)鍵。CRC32和Adler32在文件里通常是小端序存儲但有些格式用大端序。算出來的值要按兩種字節(jié)序都試一下。另外有些格式的校驗(yàn)值是對XOR之前的數(shù)據(jù)算的有些是對XOR之后的算的。如果直接算不對試試先XOR再算。3.3 壓縮層的格式判斷與解壓壓縮層的判斷主要靠魔數(shù)和試解壓。常見壓縮格式的魔數(shù)格式魔數(shù)十六進(jìn)制說明zlib78 01/78 9C/78 DA最常見78后面的字節(jié)表示壓縮級別gzip1F 8B帶文件頭和CRClz404 22 4D 18幀格式zstd28 B5 2F FD現(xiàn)代格式bzip242 5A 68BZhlzma/xzFD 37 7A 58 5A 00xz格式deflate raw無固定魔數(shù)需要試解壓如果看到78開頭的兩字節(jié)基本可以確定是zlib。zlib的第二個(gè)字節(jié)有規(guī)律01表示最快壓縮9C表示默認(rèn)DA表示最大壓縮。這三個(gè)值覆蓋了絕大多數(shù)情況。解壓實(shí)操import zlib import gzip import lz4.frame import zstandard as zstd data open(decrypted.bin, rb).read() # 試zlib try: result zlib.decompress(data) print(zlib解壓成功長度:, len(result)) except Exception as e: print(zlib失敗:, e) # 試gzip try: result gzip.decompress(data) print(gzip解壓成功長度:, len(result)) except Exception as e: print(gzip失敗:, e) # 試lz4 try: result lz4.frame.decompress(data) print(lz4解壓成功長度:, len(result)) except Exception as e: print(lz4失敗:, e) # 試zstd try: dctx zstd.ZstdDecompressor() result dctx.decompress(data) print(zstd解壓成功長度:, len(result)) except Exception as e: print(zstd失敗:, e)如果所有標(biāo)準(zhǔn)格式都失敗可能是raw deflate沒有zlib頭。用zlib.decompress(data, -15)試-15表示raw deflate。還不行的話可能是自定義壓縮或者數(shù)據(jù)還有一層XOR沒剝干凈。實(shí)操心得解壓失敗時(shí)先檢查數(shù)據(jù)長度。zlib解壓需要完整的流如果數(shù)據(jù)被截?cái)鄷?bào)Error -5不完整。這時(shí)候可以試試zlib.decompressobj()它能解壓部分?jǐn)?shù)據(jù)。另外有些格式在壓縮數(shù)據(jù)前后加了額外字節(jié)比如長度前綴需要先去掉。3.4 三層順序的判斷邏輯三層順序不是固定的但可以通過以下邏輯判斷如果XOR在壓縮之后XOR還原后能看到壓縮魔數(shù)。這是最常見的情況因?yàn)橄葔嚎s再XORXOR的密鑰可以很短甚至單字節(jié)因?yàn)閴嚎s數(shù)據(jù)本身已經(jīng)高熵了。如果XOR在壓縮之前XOR還原后看到的是原始數(shù)據(jù)可讀文本或結(jié)構(gòu)化二進(jìn)制沒有壓縮魔數(shù)。這種情況少見因?yàn)橄萖OR再壓縮壓縮率會下降XOR后的數(shù)據(jù)熵值高壓縮算法效果差。校驗(yàn)的位置校驗(yàn)通常在XOR之前計(jì)算對壓縮后的數(shù)據(jù)算然后校驗(yàn)值和XOR后的數(shù)據(jù)一起存儲。讀取時(shí)先XOR還原再校驗(yàn)再解壓。但也有格式先校驗(yàn)再XOR讀取時(shí)先XOR再校驗(yàn)。判斷方法用兩種順序各試一次看哪個(gè)能通過校驗(yàn)。判斷流程讀文件頭提取data_offset、data_length、checksum。提取數(shù)據(jù)區(qū)。嘗試XOR還原用已知或猜測的密鑰。對還原后的數(shù)據(jù)算校驗(yàn)和checksum對比。如果校驗(yàn)通過嘗試解壓。如果校驗(yàn)不通過嘗試對原始數(shù)據(jù)未XOR算校驗(yàn)。如果還不通過檢查校驗(yàn)范圍是否只是數(shù)據(jù)區(qū)的一部分。4. 完整實(shí)操流程從二進(jìn)制到原始數(shù)據(jù)4.1 環(huán)境準(zhǔn)備與工具清單工欲善其事必先利其器。這套流程需要的工具不多但每個(gè)都要用熟。十六進(jìn)制編輯器010 Editor有模板功能能自動解析結(jié)構(gòu)、HxDWindows免費(fèi)、ImHex開源支持模式語言。我個(gè)人常用010 Editor因?yàn)樗哪０骞δ芸梢詫懩_本自動解析文件頭。命令行工具xxd十六進(jìn)制dump、strings提取字符串、file識別文件類型、binwalk自動識別嵌套格式。binwalk特別有用它能自動掃描文件里的壓縮流和文件系統(tǒng)。Python環(huán)境需要zlib標(biāo)準(zhǔn)庫、gzip標(biāo)準(zhǔn)庫、lz4pip install lz4、zstandardpip install zstandard、crcmod可選用于自定義CRC。調(diào)試工具如果存檔有配套程序用x64dbg或gdb附加到程序上在讀取存檔的函數(shù)下斷點(diǎn)觀察它怎么處理數(shù)據(jù)。這是最直接的方法但需要程序還能運(yùn)行。# 安裝Python依賴 pip install lz4 zstandard crcmod # binwalk基本用法 binwalk savefile.bin # 提取binwalk識別的內(nèi)容 binwalk -e savefile.bin4.2 第一步文件頭解析與字段提取假設(shè)我們已經(jīng)用strings和十六進(jìn)制編輯器確認(rèn)了文件頭結(jié)構(gòu)?，F(xiàn)在寫一個(gè)Python腳本自動提取字段。import struct def parse_header(filepath): with open(filepath, rb) as f: data f.read() # 假設(shè)文件頭結(jié)構(gòu)根據(jù)實(shí)際分析調(diào)整 # 0x00: magic (4 bytes) SAVE # 0x04: version (4 bytes, uint32 LE) # 0x08: checksum (4 bytes, uint32 LE) # 0x0C: data_offset (4 bytes, uint32 LE) # 0x10: data_length (4 bytes, uint32 LE) # 0x14: flags (4 bytes) magic data[0x00:0x04] version struct.unpack(I, data[0x04:0x08])[0] checksum struct.unpack(I, data[0x08:0x0C])[0] data_offset struct.unpack(I, data[0x0C:0x10])[0] data_length struct.unpack(I, data[0x10:0x14])[0] flags struct.unpack(I, data[0x14:0x18])[0] print(fMagic: {magic}) print(fVersion: {version}) print(fChecksum: 0x{checksum:08X}) print(fData offset: 0x{data_offset:X}) print(fData length: {data_length}) print(fFlags: 0x{flags:08X}) # 提取數(shù)據(jù)區(qū) data_section data[data_offset:data_offset data_length] print(fData section extracted: {len(data_section)} bytes) return { magic: magic, version: version, checksum: checksum, data_offset: data_offset, data_length: data_length, flags: flags, data_section: data_section } result parse_header(savefile.bin)注意字段偏移和類型必須根據(jù)實(shí)際分析確定上面的代碼只是示例。實(shí)際分析時(shí)先用十六進(jìn)制編輯器手動確認(rèn)每個(gè)字段的位置和長度再寫腳本。不要一上來就寫腳本容易因?yàn)槠撇洛e而浪費(fèi)時(shí)間。4.3 第二步XOR還原與密鑰確認(rèn)假設(shè)通過已知明文攻擊我們猜測密鑰是單字節(jié)0x5A。寫腳本還原并驗(yàn)證。def try_xor_keys(data_section, candidate_keys): 嘗試多個(gè)候選密鑰輸出看起來最像壓縮數(shù)據(jù)的 results [] for key in candidate_keys: if isinstance(key, int): decrypted bytes(b ^ key for b in data_section) else: decrypted bytes(data_section[i] ^ key[i % len(key)] for i in range(len(data_section))) # 檢查是否有壓縮魔數(shù) magic_score 0 if decrypted[:2] in [b\x78\x01, b\x78\x9C, b\x78\xDA]: magic_score 10 elif decrypted[:2] b\x1F\x8B: magic_score 10 elif decrypted[:4] b\x04\x22\x4D\x18: magic_score 10 # 檢查可打印字符比例 printable sum(1 for b in decrypted[:100] if 32 b 127) printable_ratio printable / min(100, len(decrypted)) results.append({ key: key, magic_score: magic_score, printable_ratio: printable_ratio, decrypted: decrypted }) # 按magic_score和printable_ratio排序 results.sort(keylambda x: (x[magic_score], x[printable_ratio]), reverseTrue) return results # 候選密鑰單字節(jié)0x00-0xFF candidates list(range(256)) results try_xor_keys(result[data_section], candidates) for r in results[:5]: key_repr f0x{r[key]:02X} if isinstance(r[key], int) else r[key] print(fKey: {key_repr}, Magic score: {r[magic_score]}, Printable: {r[printable_ratio]:.2f}) print(f First 16 bytes: {r[decrypted][:16].hex()})如果單字節(jié)密鑰都不對試試多字節(jié)。多字節(jié)密鑰的候選可以來自文件里其他位置的字符串、程序二進(jìn)制里的常量、常見弱密鑰如12345678、password。4.4 第三步校驗(yàn)驗(yàn)證與數(shù)據(jù)完整性確認(rèn)XOR還原后用還原后的數(shù)據(jù)算校驗(yàn)和文件頭里的checksum對比。import zlib def verify_checksum(data, expected_checksum, algorithmcrc32): if algorithm crc32: calculated zlib.crc32(data) 0xFFFFFFFF elif algorithm adler32: calculated zlib.adler32(data) 0xFFFFFFFF else: raise ValueError(fUnknown algorithm: {algorithm}) # 嘗試兩種字節(jié)序 expected_le expected_checksum expected_be struct.unpack(I, struct.pack(I, expected_checksum))[0] match_le (calculated expected_le) match_be (calculated expected_be) print(fCalculated: 0x{calculated:08X}) print(fExpected (LE): 0x{expected_le:08X}, match: {match_le}) print(fExpected (BE): 0x{expected_be:08X}, match: {match_be}) return match_le or match_be # 用XOR還原后的數(shù)據(jù)驗(yàn)證 best_result results[0] decrypted_data best_result[decrypted] verify_checksum(decrypted_data, result[checksum], crc32)如果校驗(yàn)通過說明XOR密鑰正確數(shù)據(jù)完整。如果不通過可能密鑰不對、校驗(yàn)算法不對、校驗(yàn)范圍不對可能只校驗(yàn)數(shù)據(jù)區(qū)的一部分、或者校驗(yàn)是在XOR之前算的那就用原始數(shù)據(jù)區(qū)算。實(shí)操心得校驗(yàn)不通過時(shí)先別急著換密鑰。試試用原始數(shù)據(jù)未XOR算校驗(yàn)如果通過了說明校驗(yàn)是在XOR之前算的XOR層在校驗(yàn)層之后。這個(gè)順序判斷能省很多時(shí)間。4.5 第四步解壓與原始數(shù)據(jù)導(dǎo)出校驗(yàn)通過后解壓就是標(biāo)準(zhǔn)操作了。import zlib def decompress_data(data): # 先試zlib try: result zlib.decompress(data) print(fzlib解壓成功原始長度: {len(result)}) return result, zlib except zlib.error as e: print(fzlib失敗: {e}) # 試raw deflate try: result zlib.decompress(data, -15) print(fraw deflate解壓成功原始長度: {len(result)}) return result, deflate except zlib.error as e: print(fraw deflate失敗: {e}) # 試gzip import gzip try: result gzip.decompress(data) print(fgzip解壓成功原始長度: {len(result)}) return result, gzip except Exception as e: print(fgzip失敗: {e}) return None, None original_data, format_used decompress_data(decrypted_data) if original_data: with open(original_data.bin, wb) as f: f.write(original_data) print(f原始數(shù)據(jù)已導(dǎo)出格式: {format_used}) # 如果是文本打印前500字符 try: text original_data.decode(utf-8) print(前500字符:) print(text[:500]) except UnicodeDecodeError: print(二進(jìn)制數(shù)據(jù)前64字節(jié):) print(original_data[:64].hex())4.6 第五步結(jié)果驗(yàn)證與迭代導(dǎo)出原始數(shù)據(jù)后驗(yàn)證是否合理如果是JSON/XML用解析器試解析。如果是結(jié)構(gòu)化二進(jìn)制檢查字段是否符合預(yù)期。如果是圖片/音頻用對應(yīng)查看器打開。如果還是亂碼可能還有一層沒剝比如原始數(shù)據(jù)本身也XOR了或者壓縮格式是自定義的。迭代方向換XOR密鑰如果校驗(yàn)沒通過。換校驗(yàn)算法CRC32換Adler32或換自定義多項(xiàng)式。換壓縮格式試lz4、zstd、bzip2。檢查是否有長度前綴或后綴需要去掉。檢查數(shù)據(jù)區(qū)是否被分成了多個(gè)塊每塊單獨(dú)處理。5. 常見問題與排查技巧實(shí)錄5.1 問題速查表現(xiàn)象可能原因排查方法找不到可讀字符串文件整體被XOR或壓縮用binwalk掃描試常見XOR密鑰字符串位置不連續(xù)結(jié)構(gòu)中有變長字段或?qū)R填充檢查字符串間的字節(jié)可能是長度或偏移XOR還原后無壓縮魔數(shù)XOR密鑰不對或壓縮格式無魔數(shù)試更多密鑰試raw deflate校驗(yàn)總是不通過算法不對、字節(jié)序不對、范圍不對試CRC32/Adler32試大小端試部分范圍解壓報(bào)不完整數(shù)據(jù)被截?cái)嗷蛴卸嘤嘧止?jié)用decompressobj檢查長度字段解壓后還是亂碼還有一層XOR或自定義編碼檢查解壓后數(shù)據(jù)的熵值和字符串多個(gè)數(shù)據(jù)塊長度不一致每塊獨(dú)立壓縮或XOR分別處理每塊檢查塊頭文件頭字段值明顯不合理字段偏移猜錯或類型不對手動在十六進(jìn)制編輯器里核對5.2 獨(dú)家避坑技巧技巧一先靜態(tài)后動態(tài)別急著上調(diào)試器。很多人一上來就開調(diào)試器附加程序結(jié)果在幾千個(gè)函數(shù)里迷路。先用strings和十六進(jìn)制編輯器做靜態(tài)分析把結(jié)構(gòu)猜個(gè)大概再用調(diào)試器驗(yàn)證。靜態(tài)分析能告訴你是什么動態(tài)分析能告訴你怎么用。技巧二保存每一步的中間結(jié)果。XOR還原后的數(shù)據(jù)、解壓后的數(shù)據(jù)都存成單獨(dú)文件。這樣如果后面步驟出錯不用從頭再來。而且中間結(jié)果本身可能包含線索比如XOR還原后的數(shù)據(jù)里可能有新的字符串。技巧三注意字節(jié)對齊。很多格式的字段是4字節(jié)或8字節(jié)對齊的。如果你發(fā)現(xiàn)字段偏移總是差1-2字節(jié)可能是對齊填充。檢查字符串后面是否有00填充到4字節(jié)邊界。技巧四校驗(yàn)值可能是對部分?jǐn)?shù)據(jù)算的。有些格式只校驗(yàn)數(shù)據(jù)區(qū)的前N字節(jié)或者跳過某些字段。如果全量校驗(yàn)不通過試試排除文件頭、排除末尾的填充、或者只校驗(yàn)數(shù)據(jù)區(qū)的前半部分。技巧五XOR密鑰可能是文件里某個(gè)字段的值。比如文件頭里有個(gè)seed字段XOR密鑰就是seed的某種變換取反、加1、循環(huán)移位。檢查文件頭里所有看起來像隨機(jī)數(shù)的字段它們可能是密鑰來源。技巧六壓縮數(shù)據(jù)可能有多層。有些格式先zlib壓縮再整體XORXOR還原后是zlib解壓后又是另一層zlib。用binwalk能自動識別嵌套或者手動解壓后檢查結(jié)果是否還有壓縮魔數(shù)。技巧七別忽略文件末尾。有些格式在文件末尾追加了額外數(shù)據(jù)比如簽名、填充、第二個(gè)數(shù)據(jù)塊。文件頭里的data_length可能只覆蓋第一個(gè)塊末尾還有東西。用十六進(jìn)制編輯器跳到文件末尾看看。技巧八用已知樣本對比。如果你能生成一個(gè)已知內(nèi)容的存檔用原程序保存一個(gè)簡單配置然后和未知存檔對比差異部分就是數(shù)據(jù)區(qū)相同部分就是文件頭和固定結(jié)構(gòu)。這是最快的方法但前提是原程序還能用。5.3 一個(gè)完整的排查案例假設(shè)你拿到一個(gè)存檔strings輸出如下00000000 SAVE 00000010 v1.0 00000020 crc32 00000030 offset 00000040 size 00000050 ...亂碼開始十六進(jìn)制查看0x50之后的數(shù)據(jù)發(fā)現(xiàn)熵值很高。文件頭里offset字段值是0x00000050size字段值是0x00001000。crc32字段值是0x12345678。第一步提取0x50到0x1050的數(shù)據(jù)區(qū)。第二步試單字節(jié)XOR。用0x00到0xFF逐個(gè)試檢查還原后是否有78 9C。假設(shè)試到0x5A時(shí)還原后開頭是78 9C。第三步用0x5A還原整個(gè)數(shù)據(jù)區(qū)算CRC32。假設(shè)算出來是0x87654321和文件頭里的0x12345678不等。試大端序還是不等。試Adler32不等。第四步懷疑校驗(yàn)是在XOR之前算的。用原始數(shù)據(jù)區(qū)算CRC32得到0x12345678匹配說明校驗(yàn)層在XOR層之前。第五步用0x5A還原數(shù)據(jù)區(qū)然后zlib解壓。解壓成功得到JSON文本。第六步驗(yàn)證JSON格式正確字段符合預(yù)期。完成。這個(gè)案例的關(guān)鍵點(diǎn)是第四步——校驗(yàn)順序的判斷。如果沒想到這一點(diǎn)可能會在密鑰上反復(fù)試?yán)速M(fèi)大量時(shí)間。6. 工具選型與自動化腳本6.1 工具對比與選擇建議工具適用場景優(yōu)點(diǎn)缺點(diǎn)010 Editor手動分析結(jié)構(gòu)模板功能強(qiáng)可視化好收費(fèi)HxD快速查看免費(fèi)輕量功能少ImHex開源分析模式語言靈活插件多學(xué)習(xí)曲線陡binwalk自動掃描識別嵌套格式快誤報(bào)多x64dbg動態(tài)調(diào)試能看程序?qū)嶋H行為需要程序可運(yùn)行Python腳本批量處理靈活可自動化需要編程基礎(chǔ)我的建議手動分析用010 Editor或ImHex自動掃描用binwalk批量處理用Python。動態(tài)調(diào)試作為最后手段因?yàn)楹芏嗬铣绦蛞呀?jīng)跑不起來了。6.2 自動化腳本框架把前面的步驟整合成一個(gè)腳本輸入文件路徑輸出原始數(shù)據(jù)。#!/usr/bin/env python3 存檔封裝拆解工具 自動嘗試XOR、校驗(yàn)、壓縮的常見組合 import struct import zlib import gzip import sys import os class SaveFileUnpacker: def __init__(self, filepath): self.filepath filepath with open(filepath, rb) as f: self.raw f.read() self.header {} self.data_section None self.decrypted None self.original None def parse_header(self, magic_offset0, fieldsNone): 根據(jù)提供的字段定義解析文件頭 if fields is None: # 默認(rèn)字段定義需根據(jù)實(shí)際調(diào)整 fields [ (magic, 0x00, 4, bytes), (version, 0x04, 4, uint32), (checksum, 0x08, 4, uint32), (data_offset, 0x0C, 4, uint32), (data_length, 0x10, 4, uint32), ] for name, offset, size, ftype in fields: raw self.raw[offset:offsetsize] if ftype bytes: value raw elif ftype uint32: value struct.unpack(I, raw)[0] elif ftype uint16: value struct.unpack(H, raw)[0] else: value raw self.header[name] value # 提取數(shù)據(jù)區(qū) offset self.header.get(data_offset, 0) length self.header.get(data_length, len(self.raw) - offset) self.data_section self.raw[offset:offsetlength] return self.header def try_xor(self, keysNone): 嘗試XOR密鑰 if keys is None: keys list(range(256)) best None best_score -1 for key in keys: if isinstance(key, int): decrypted bytes(b ^ key for b in self.data_section) else: decrypted bytes(self.data_section[i] ^ key[i % len(key)] for i in range(len(self.data_section))) score self._score_data(decrypted) if score best_score: best_score score best (key, decrypted) if best: self.decrypted best[1] return best[0], best_score return None, -1 def _score_data(self, data): 給數(shù)據(jù)打分壓縮魔數(shù)可打印字符比例 score 0 if len(data) 2: if data[:2] in [b\x78\x01, b\x78\x9C, b\x78\xDA]: score 100 elif data[:2] b\x1F\x8B: score 100 if len(data) 4: if data[:4] b\x04\x22\x4D\x18: score 100 elif data[:4] b\x28\xB5\x2F\xFD: score 100 # 可打印字符比例 sample data[:200] printable sum(1 for b in sample if 32 b 127) score (printable / len(sample)) * 50 return score def verify_checksum(self, data, expected, algorithmcrc32): 驗(yàn)證校驗(yàn)和 if algorithm crc32: calculated zlib.crc32(data) 0xFFFFFFFF elif algorithm adler32: calculated zlib.adler32(data) 0xFFFFFFFF else: return False # 嘗試兩種字節(jié)序 expected_le expected expected_be struct.unpack(I, struct.pack(I, expected))[0] return calculated expected_le or calculated expected_be def decompress(self, data): 嘗試多種解壓格式 # zlib try: return zlib.decompress(data), zlib except: pass # raw deflate try: return zlib.decompress(data, -15), deflate except: pass # gzip try: return gzip.decompress(data), gzip except: pass # lz4 try: import lz4.frame return lz4.frame.decompress(data), lz4 except: pass # zstd try: import zstandard as zstd dctx zstd.ZstdDecompressor() return dctx.decompress(data), zstd except: pass return None, None def run(self): 完整流程 print(f處理文件: {self.filepath}) print(f文件大小: {len(self.raw)} bytes) # 1. 解析文件頭 print(\n[1] 解析文件頭...) self.parse_header() for k, v in self.header.items(): if isinstance(v, bytes): print(f {k}: {v}) elif isinstance(v, int): print(f {k}: 0x{v:X} ({v})) # 2. 嘗試XOR print(\n[2] 嘗試XOR還原...) key, score self.try_xor() if key is not None: key_repr f0x{key:02X} if isinstance(key, int) else key print(f 最佳密鑰: {key_repr}, 得分: {score:.2f}) print(f 還原后前16字節(jié): {self.decrypted[:16].hex()}) else: print( 未找到合適的XOR密鑰) self.decrypted self.data_section # 3. 驗(yàn)證校驗(yàn) print(\n[3] 驗(yàn)證校驗(yàn)和...) expected self.header.get(checksum, 0) for algo in [crc32, adler32]: for data_name, data in [(XOR后, self.decrypted), (原始, self.data_section)]: if self.verify_checksum(data, expected, algo): print(f 校驗(yàn)通過: {algo} on {data_name}數(shù)據(jù)) break # 4. 解壓 print(\n[4] 嘗試解壓...) original, fmt self.decompress(self.decrypted) if original: self.original original print(f 解壓成功: {fmt}, 原始長度: {len(original)}) # 導(dǎo)出 output_path self.filepath .unpacked with open(output_path, wb) as f: f.write(original) print(f 已導(dǎo)出到: {output_path}) # 嘗試顯示文本 try: text original.decode(utf-8) print(f 前200字符:\n{text[:200]}) except: print(f 前32字節(jié): {original[:32].hex()}) else: print( 解壓失敗可能還有未識別的層) # 導(dǎo)出XOR還原后的數(shù)據(jù)供手動分析 output_path self.filepath .decrypted with open(output_path, wb) as f: f.write(self.decrypted) print(f 已導(dǎo)出XOR還原數(shù)據(jù)到: {output_path}) if __name__ __main__: if len(sys.argv) 2: print(用法: python unpacker.py savefile) sys.exit(1) unpacker SaveFileUnpacker(sys.argv[1]) unpacker.run()這個(gè)腳本是一個(gè)框架實(shí)際使用時(shí)需要根據(jù)具體格式調(diào)整parse_header里的字段定義。它的價(jià)值在于把試錯過程自動化了——自動試256個(gè)單字節(jié)XOR密鑰、自動試多種校驗(yàn)算法、自動試多種解壓格式。你只需要提供文件頭結(jié)構(gòu)剩下的交給腳本。實(shí)操心得腳本跑完后如果解壓失敗別急著改腳本。先看導(dǎo)出的.decrypted文件用十六進(jìn)制編輯器手動檢查。有時(shí)候腳本的評分函數(shù)沒選對最佳密鑰但手動看能發(fā)現(xiàn)線索。自動化是輔助最終判斷還是要靠人。7. 影響范圍與擴(kuò)展思考這套拆解方法不只適用于存檔文件。任何二進(jìn)制封裝的場景都能用網(wǎng)絡(luò)協(xié)議的數(shù)據(jù)包、嵌入式設(shè)備的固件、游戲資源包、數(shù)據(jù)庫的導(dǎo)出文件。核心思路是一樣的——找字符串引用、識別封裝層、逐層剝離。從影響范圍看掌握這套方法意味著你能處理一類問題而不是一個(gè)具體問題。今天拆的是存檔明天遇到一個(gè)未知格式的配置文件同樣的流程走一遍strings看線索、十六進(jìn)制看結(jié)構(gòu)、試XOR、試校驗(yàn)、試解壓。大部分格式都逃不出這幾層。擴(kuò)展方向有幾個(gè)。一是自動化程度可以更高比如用符號執(zhí)行或模糊測試自動推斷字段邊界。二是支持更多壓縮格式比如brotli、lzo、snappy。三是結(jié)合動態(tài)分析如果程序能運(yùn)行用調(diào)試器直接看它怎么讀文件比靜態(tài)猜快得多。四是處理加密而非XOR如果遇到AES或RSA就需要密鑰提取或側(cè)信道分析那是另一個(gè)領(lǐng)域了。我個(gè)人在實(shí)際操作中的體會是耐心比技術(shù)更重要。很多時(shí)候不是不會而是試了幾次沒成功就放棄了。XOR密鑰有256種可能校驗(yàn)算法有幾十種壓縮格式有十幾種組合起來確實(shí)多。但通過字符串引用和結(jié)構(gòu)分析能把可能性縮小到幾個(gè)剩下的就是逐個(gè)驗(yàn)證。每次成功拆開一個(gè)格式那種原來如此的感覺就是做這行的樂趣所在。最后分享一個(gè)小技巧建一個(gè)自己的格式庫。每次拆開一個(gè)新格式把文件頭結(jié)構(gòu)、XOR密鑰規(guī)律、校驗(yàn)算法、壓縮格式記下來。下次遇到類似的直接查庫能省大量時(shí)間。我自己的庫里已經(jīng)存了幾十種格式很多是同一個(gè)軟件的不同版本結(jié)構(gòu)大同小異。這個(gè)習(xí)慣讓我處理新格式的速度越來越快。 逆向工程實(shí)戰(zhàn)：從字符串引用拆解存檔封裝中的XOR、校驗(yàn)與壓縮
1. 從一個(gè)存檔文件說起為什么需要拆解封裝層手里拿到一個(gè)二進(jìn)制存檔文件雙擊打不開用十六進(jìn)制編輯器看是一堆亂碼但文件頭幾個(gè)字節(jié)又隱約有規(guī)律——這種場景在逆向分析、數(shù)據(jù)恢復(fù)、老舊系統(tǒng)遷移里太常見了。標(biāo)題里說的沿字符串引用還原存檔封裝本質(zhì)上就是一條逆向工程的分析路徑你手上只有一堆字節(jié)但通過觀察文件里出現(xiàn)的字符串引用比如某個(gè)字段名、某個(gè)路徑片段、某個(gè)固定標(biāo)記反推出這個(gè)存檔是怎么被封裝的然后一層層剝開XOR混淆、校驗(yàn)和、壓縮這三層外殼最終拿到原始數(shù)據(jù)。這件事能解決什么問題舉個(gè)實(shí)際場景某款老工具生成的工程存檔原程序已經(jīng)找不到了但你需要把里面的配置數(shù)據(jù)導(dǎo)出來遷移到新系統(tǒng)。或者你在做安全分析拿到一個(gè)可疑的二進(jìn)制文件需要判斷它內(nèi)部是否藏了壓縮數(shù)據(jù)。再或者你在做數(shù)據(jù)恢復(fù)一個(gè)損壞的存檔文件需要先搞清楚它的封裝結(jié)構(gòu)才能定位損壞位置。這些場景的共同點(diǎn)是你沒有源碼沒有文檔只有一個(gè)二進(jìn)制文件和你的分析能力。適合誰來參考有一定二進(jìn)制分析基礎(chǔ)、會用十六進(jìn)制編輯器、了解基本壓縮格式zlib、gzip、lz4之類和校驗(yàn)算法CRC32、Adler32、簡單累加和的人。如果你完全沒接觸過二進(jìn)制分析這篇文章也能看懂思路但實(shí)操部分需要你補(bǔ)一些基礎(chǔ)知識。我會盡量把每一步的為什么講清楚而不是只丟一堆命令。整篇文章圍繞一條主線從字符串引用入手識別封裝層次逐層拆解XOR、校驗(yàn)、壓縮最終還原出可讀的原始數(shù)據(jù)。這條主線在逆向分析里是通用方法論不局限于某一個(gè)具體格式。下面我按實(shí)際操作的順序把每個(gè)環(huán)節(jié)拆開講。2. 封裝結(jié)構(gòu)的整體設(shè)計(jì)思路與識別方法2.1 為什么存檔要加這三層先說清楚一個(gè)前提不是所有存檔都會同時(shí)用XOR、校驗(yàn)、壓縮這三層。但一旦你遇到一個(gè)看起來有規(guī)律但讀不懂的文件這三層是最常見的組合。它們的職責(zé)分工很明確。壓縮層解決的是體積問題。原始數(shù)據(jù)可能是JSON、XML、或者結(jié)構(gòu)化的二進(jìn)制記錄直接存體積大用zlib或lz4壓一下能省很多空間。壓縮后的數(shù)據(jù)有個(gè)特征熵值高字節(jié)分布接近隨機(jī)但通常開頭幾個(gè)字節(jié)是固定的魔數(shù)比如zlib的78 9C、78 01、78 DA。校驗(yàn)層解決的是完整性驗(yàn)證。存檔在傳輸或存儲過程中可能損壞加一個(gè)CRC32或Adler32讀取時(shí)先校驗(yàn)再解壓能提前發(fā)現(xiàn)損壞而不是解壓到一半報(bào)錯。校驗(yàn)值通常緊挨著被校驗(yàn)的數(shù)據(jù)存放長度固定CRC32是4字節(jié)Adler32也是4字節(jié)。XOR層解決的是不想讓你直接看懂的問題。它不算真正的加密因?yàn)槊荑€往往很短且固定但足以讓直接打開文件的人看到亂碼。XOR的特點(diǎn)是同一個(gè)密鑰異或兩次就還原所以加密解密是同一個(gè)操作。密鑰可能是一個(gè)字節(jié)、一個(gè)固定字符串、或者一段循環(huán)使用的字節(jié)序列。三層疊加的順序通常是原始數(shù)據(jù) → 壓縮 → 加校驗(yàn) → XOR混淆 → 寫入文件。讀取時(shí)反過來讀文件 → XOR還原 → 校驗(yàn)驗(yàn)證 → 解壓 → 原始數(shù)據(jù)。但實(shí)際順序可能變比如先XOR再壓縮或者校驗(yàn)放在XOR之前。這就是為什么不能想當(dāng)然必須通過分析確認(rèn)。2.2 字符串引用為什么是最好的切入點(diǎn)二進(jìn)制文件里如果全是壓縮或XOR后的數(shù)據(jù)你確實(shí)什么都看不出來。但封裝結(jié)構(gòu)本身往往留有線索——這些線索就是字符串引用。具體來說一個(gè)存檔文件通常包含文件頭標(biāo)識版本、類型、元數(shù)據(jù)區(qū)記錄各個(gè)數(shù)據(jù)塊的位置和長度、數(shù)據(jù)區(qū)實(shí)際內(nèi)容。文件頭和元數(shù)據(jù)區(qū)往往不壓縮也不XOR因?yàn)槌绦蛐枰焖僮x取它們來定位數(shù)據(jù)。這些區(qū)域里就可能出現(xiàn)字符串比如固定的魔數(shù)標(biāo)記如SAVE、ARCH、PK\x03\x04zip的標(biāo)記字段名如version、checksum、offset、length路徑片段如config/、data/、.json、.bin錯誤信息或提示文本用十六進(jìn)制編輯器打開文件切到ASCII視圖掃一眼有沒有可讀字符串。更高效的方法是用strings命令Linux/macOS自帶Windows可以用Sysinternals的strings或者Git Bash里的提取所有長度≥4的可打印字符串然后觀察哪些像是結(jié)構(gòu)標(biāo)記。strings -a -t x savefile.bin | head -50-a表示掃描整個(gè)文件不只是數(shù)據(jù)段-t x表示輸出字符串在文件中的十六進(jìn)制偏移。這樣你能看到每個(gè)字符串出現(xiàn)在文件的什么位置位置信息非常關(guān)鍵——如果某個(gè)字符串出現(xiàn)在文件開頭附近它很可能是文件頭的一部分如果出現(xiàn)在中間可能是某個(gè)數(shù)據(jù)塊的標(biāo)記。2.3 從字符串位置反推結(jié)構(gòu)布局拿到字符串列表和偏移后下一步是推斷結(jié)構(gòu)。假設(shè)你看到這樣的輸出00000000 SAVE 00000010 version 00000020 checksum 00000030 data_offset 00000040 data_length 00000050 ...后面是亂碼這說明文件頭至少到0x50左右包含了版本、校驗(yàn)值、數(shù)據(jù)偏移和長度這些字段。每個(gè)字段后面跟著的實(shí)際值需要你去看十六進(jìn)制。比如version后面4個(gè)字節(jié)可能是01 00 00 00小端序的1checksum后面4個(gè)字節(jié)是校驗(yàn)值data_offset后面4個(gè)字節(jié)是數(shù)據(jù)區(qū)起始位置data_length后面4個(gè)字節(jié)是數(shù)據(jù)區(qū)長度。這里有個(gè)關(guān)鍵技巧字符串本身往往不是數(shù)據(jù)而是標(biāo)簽。程序讀取時(shí)先匹配標(biāo)簽再讀標(biāo)簽后面的值。所以你在十六進(jìn)制里看到的是標(biāo)簽值的交替排列。標(biāo)簽是ASCII值是二進(jìn)制。找到這個(gè)規(guī)律結(jié)構(gòu)就清晰了一半。注意有些格式的字符串是定長字段比如固定16字節(jié)不足補(bǔ)零有些是長度前綴前面1或2字節(jié)表示字符串長度。觀察字符串后面跟的是00還是長度值能判斷是哪種。2.4 判斷是否存在XOR層的三個(gè)信號不是所有文件都有XOR層。怎么判斷看三個(gè)信號。信號一字符串區(qū)域之外的數(shù)據(jù)熵值異常高但又不是壓縮格式。壓縮數(shù)據(jù)的熵值也很高但壓縮數(shù)據(jù)通常有魔數(shù)。如果你看到一段數(shù)據(jù)熵值高、沒有已知壓縮魔數(shù)、而且長度和某個(gè)字段比如data_length對得上那可能是XOR后的數(shù)據(jù)。信號二文件里有兩段相似但不完全相同的數(shù)據(jù)。比如兩個(gè)數(shù)據(jù)塊長度一樣內(nèi)容看起來都是亂碼但逐字節(jié)對比發(fā)現(xiàn)差異很小。這可能是同一份數(shù)據(jù)用不同密鑰XOR或者一份是XOR后的、一份是原始的用于對比分析。信號三已知明文攻擊。如果你知道原始數(shù)據(jù)里應(yīng)該包含某個(gè)固定字符串比如JSON開頭的{或XML開頭的?xml而文件里對應(yīng)位置是亂碼把亂碼和已知明文XOR就能得到密鑰。這是最直接的確認(rèn)方法。舉個(gè)例子假設(shè)data_offset指向的位置文件里是9A 8B 8C 8D而你預(yù)期原始數(shù)據(jù)開頭是7B 22 0A 20{加換行加空格逐字節(jié)XOR9A ^ 7B E1 8B ^ 22 A9 8C ^ 0A 86 8D ^ 20 AD得到密鑰片段E1 A9 86 AD。如果這個(gè)密鑰在文件其他位置重復(fù)出現(xiàn)或者用它對其他數(shù)據(jù)塊XOR后能得到可讀內(nèi)容那XOR層就確認(rèn)了。3. 核心細(xì)節(jié)解析XOR、校驗(yàn)、壓縮的拆解要點(diǎn)3.1 XOR層的密鑰識別與還原實(shí)操XOR還原的核心是找到密鑰。密鑰的形態(tài)有幾種按難度從低到高排列。單字節(jié)密鑰是最簡單的。整個(gè)數(shù)據(jù)區(qū)所有字節(jié)都異或同一個(gè)值。怎么找如果數(shù)據(jù)區(qū)里有一段你已知的明文比如文件末尾可能有固定的結(jié)束標(biāo)記拿密文和明文XOR就能得到密鑰?；蛘哂妙l率分析如果原始數(shù)據(jù)是文本空格0x20出現(xiàn)頻率最高密文里出現(xiàn)頻率最高的字節(jié)異或0x20就是密鑰。固定多字節(jié)密鑰稍復(fù)雜。密鑰是一個(gè)固定長度的字節(jié)序列循環(huán)使用。比如密鑰是KEY1236字節(jié)那么數(shù)據(jù)第1字節(jié)異或K第2字節(jié)異或E第7字節(jié)又異或K以此類推。識別方法是如果數(shù)據(jù)里有兩段相同明文被加密密文的差異會呈現(xiàn)周期性?；蛘哂靡阎魑墓舻玫矫荑€片段后觀察周期。變長密鑰最麻煩密鑰可能根據(jù)位置變化比如密鑰是位置索引的函數(shù)。這種情況通常需要結(jié)合程序邏輯分析純靜態(tài)分析很難。但實(shí)際遇到的存檔格式里變長密鑰很少見因?yàn)閷?shí)現(xiàn)復(fù)雜且沒必要。實(shí)操還原的步驟確定數(shù)據(jù)區(qū)的起始偏移和長度從文件頭字段讀取。提取數(shù)據(jù)區(qū)字節(jié)到單獨(dú)文件。用猜測的密鑰做XOR輸出結(jié)果。檢查結(jié)果是否有已知壓縮魔數(shù)或可讀文本。如果沒有調(diào)整密鑰或密鑰周期重復(fù)。def xor_decrypt(data, key): key可以是bytes或int if isinstance(key, int): return bytes(b ^ key for b in data) else: key_len len(key) return bytes(data[i] ^ key[i % key_len] for i in range(len(data))) # 示例單字節(jié)密鑰0x5A with open(data_section.bin, rb) as f: encrypted f.read() decrypted xor_decrypt(encrypted, 0x5A) with open(decrypted.bin, wb) as f: f.write(decrypted)實(shí)操心得XOR還原后先別急著解壓用xxd或十六進(jìn)制編輯器看一眼開頭。如果看到78 9C、1F 8B、04 22 4D 18這些魔數(shù)說明壓縮層就在里面。如果看到PK那是zip。如果看到可讀文本可能沒有壓縮層直接就是原始數(shù)據(jù)。3.2 校驗(yàn)層的識別與驗(yàn)證方法校驗(yàn)層的識別相對直接因?yàn)樾ｒ?yàn)算法就那么幾種而且校驗(yàn)值長度固定。CRC324字節(jié)多項(xiàng)式0xEDB88320反射或0x04C11DB7非反射。zlib、gzip、zip都用它。特征是校驗(yàn)值通常放在被校驗(yàn)數(shù)據(jù)的后面或前面小端序存儲。Adler324字節(jié)zlib的默認(rèn)校驗(yàn)和CRC32二選一。計(jì)算比CRC32快但碰撞概率稍高。特征是兩個(gè)16位部分低16位是累加和高16位是累加和的累加。簡單累加和1、2或4字節(jié)所有字節(jié)相加取模。老式格式常用。特征是值通常不大且改變一個(gè)字節(jié)對結(jié)果影響是線性的。MD5/SHA116或20字節(jié)用于強(qiáng)校驗(yàn)。特征是長度明顯比CRC長且看起來完全隨機(jī)。驗(yàn)證方法假設(shè)文件頭里有個(gè)checksum字段值是X。你把數(shù)據(jù)區(qū)提取出來用各種算法算一遍看哪個(gè)結(jié)果等于X。如果都不等可能校驗(yàn)范圍不是整個(gè)數(shù)據(jù)區(qū)而是數(shù)據(jù)區(qū)的一部分或者校驗(yàn)前先做了XOR。import zlib import hashlib data open(data_section.bin, rb).read() crc32_val zlib.crc32(data) 0xFFFFFFFF adler32_val zlib.adler32(data) 0xFFFFFFFF md5_val hashlib.md5(data).hexdigest() sha1_val hashlib.sha1(data).hexdigest() print(fCRC32: {crc32_val:08X}) print(fAdler32: {adler32_val:08X}) print(fMD5: {md5_val}) print(fSHA1: {sha1_val})注意校驗(yàn)值的字節(jié)序很關(guān)鍵。CRC32和Adler32在文件里通常是小端序存儲但有些格式用大端序。算出來的值要按兩種字節(jié)序都試一下。另外有些格式的校驗(yàn)值是對XOR之前的數(shù)據(jù)算的有些是對XOR之后的算的。如果直接算不對試試先XOR再算。3.3 壓縮層的格式判斷與解壓壓縮層的判斷主要靠魔數(shù)和試解壓。常見壓縮格式的魔數(shù)格式魔數(shù)十六進(jìn)制說明zlib78 01/78 9C/78 DA最常見78后面的字節(jié)表示壓縮級別gzip1F 8B帶文件頭和CRClz404 22 4D 18幀格式zstd28 B5 2F FD現(xiàn)代格式bzip242 5A 68BZhlzma/xzFD 37 7A 58 5A 00xz格式deflate raw無固定魔數(shù)需要試解壓如果看到78開頭的兩字節(jié)基本可以確定是zlib。zlib的第二個(gè)字節(jié)有規(guī)律01表示最快壓縮9C表示默認(rèn)DA表示最大壓縮。這三個(gè)值覆蓋了絕大多數(shù)情況。解壓實(shí)操import zlib import gzip import lz4.frame import zstandard as zstd data open(decrypted.bin, rb).read() # 試zlib try: result zlib.decompress(data) print(zlib解壓成功長度:, len(result)) except Exception as e: print(zlib失敗:, e) # 試gzip try: result gzip.decompress(data) print(gzip解壓成功長度:, len(result)) except Exception as e: print(gzip失敗:, e) # 試lz4 try: result lz4.frame.decompress(data) print(lz4解壓成功長度:, len(result)) except Exception as e: print(lz4失敗:, e) # 試zstd try: dctx zstd.ZstdDecompressor() result dctx.decompress(data) print(zstd解壓成功長度:, len(result)) except Exception as e: print(zstd失敗:, e)如果所有標(biāo)準(zhǔn)格式都失敗可能是raw deflate沒有zlib頭。用zlib.decompress(data, -15)試-15表示raw deflate。還不行的話可能是自定義壓縮或者數(shù)據(jù)還有一層XOR沒剝干凈。實(shí)操心得解壓失敗時(shí)先檢查數(shù)據(jù)長度。zlib解壓需要完整的流如果數(shù)據(jù)被截?cái)鄷?bào)Error -5不完整。這時(shí)候可以試試zlib.decompressobj()它能解壓部分?jǐn)?shù)據(jù)。另外有些格式在壓縮數(shù)據(jù)前后加了額外字節(jié)比如長度前綴需要先去掉。3.4 三層順序的判斷邏輯三層順序不是固定的但可以通過以下邏輯判斷如果XOR在壓縮之后XOR還原后能看到壓縮魔數(shù)。這是最常見的情況因?yàn)橄葔嚎s再XORXOR的密鑰可以很短甚至單字節(jié)因?yàn)閴嚎s數(shù)據(jù)本身已經(jīng)高熵了。如果XOR在壓縮之前XOR還原后看到的是原始數(shù)據(jù)可讀文本或結(jié)構(gòu)化二進(jìn)制沒有壓縮魔數(shù)。這種情況少見因?yàn)橄萖OR再壓縮壓縮率會下降XOR后的數(shù)據(jù)熵值高壓縮算法效果差。校驗(yàn)的位置校驗(yàn)通常在XOR之前計(jì)算對壓縮后的數(shù)據(jù)算然后校驗(yàn)值和XOR后的數(shù)據(jù)一起存儲。讀取時(shí)先XOR還原再校驗(yàn)再解壓。但也有格式先校驗(yàn)再XOR讀取時(shí)先XOR再校驗(yàn)。判斷方法用兩種順序各試一次看哪個(gè)能通過校驗(yàn)。判斷流程讀文件頭提取data_offset、data_length、checksum。提取數(shù)據(jù)區(qū)。嘗試XOR還原用已知或猜測的密鑰。對還原后的數(shù)據(jù)算校驗(yàn)和checksum對比。如果校驗(yàn)通過嘗試解壓。如果校驗(yàn)不通過嘗試對原始數(shù)據(jù)未XOR算校驗(yàn)。如果還不通過檢查校驗(yàn)范圍是否只是數(shù)據(jù)區(qū)的一部分。4. 完整實(shí)操流程從二進(jìn)制到原始數(shù)據(jù)4.1 環(huán)境準(zhǔn)備與工具清單工欲善其事必先利其器。這套流程需要的工具不多但每個(gè)都要用熟。十六進(jìn)制編輯器010 Editor有模板功能能自動解析結(jié)構(gòu)、HxDWindows免費(fèi)、ImHex開源支持模式語言。我個(gè)人常用010 Editor因?yàn)樗哪０骞δ芸梢詫懩_本自動解析文件頭。命令行工具xxd十六進(jìn)制dump、strings提取字符串、file識別文件類型、binwalk自動識別嵌套格式。binwalk特別有用它能自動掃描文件里的壓縮流和文件系統(tǒng)。Python環(huán)境需要zlib標(biāo)準(zhǔn)庫、gzip標(biāo)準(zhǔn)庫、lz4pip install lz4、zstandardpip install zstandard、crcmod可選用于自定義CRC。調(diào)試工具如果存檔有配套程序用x64dbg或gdb附加到程序上在讀取存檔的函數(shù)下斷點(diǎn)觀察它怎么處理數(shù)據(jù)。這是最直接的方法但需要程序還能運(yùn)行。# 安裝Python依賴 pip install lz4 zstandard crcmod # binwalk基本用法 binwalk savefile.bin # 提取binwalk識別的內(nèi)容 binwalk -e savefile.bin4.2 第一步文件頭解析與字段提取假設(shè)我們已經(jīng)用strings和十六進(jìn)制編輯器確認(rèn)了文件頭結(jié)構(gòu)?，F(xiàn)在寫一個(gè)Python腳本自動提取字段。import struct def parse_header(filepath): with open(filepath, rb) as f: data f.read() # 假設(shè)文件頭結(jié)構(gòu)根據(jù)實(shí)際分析調(diào)整 # 0x00: magic (4 bytes) SAVE # 0x04: version (4 bytes, uint32 LE) # 0x08: checksum (4 bytes, uint32 LE) # 0x0C: data_offset (4 bytes, uint32 LE) # 0x10: data_length (4 bytes, uint32 LE) # 0x14: flags (4 bytes) magic data[0x00:0x04] version struct.unpack(I, data[0x04:0x08])[0] checksum struct.unpack(I, data[0x08:0x0C])[0] data_offset struct.unpack(I, data[0x0C:0x10])[0] data_length struct.unpack(I, data[0x10:0x14])[0] flags struct.unpack(I, data[0x14:0x18])[0] print(fMagic: {magic}) print(fVersion: {version}) print(fChecksum: 0x{checksum:08X}) print(fData offset: 0x{data_offset:X}) print(fData length: {data_length}) print(fFlags: 0x{flags:08X}) # 提取數(shù)據(jù)區(qū) data_section data[data_offset:data_offset data_length] print(fData section extracted: {len(data_section)} bytes) return { magic: magic, version: version, checksum: checksum, data_offset: data_offset, data_length: data_length, flags: flags, data_section: data_section } result parse_header(savefile.bin)注意字段偏移和類型必須根據(jù)實(shí)際分析確定上面的代碼只是示例。實(shí)際分析時(shí)先用十六進(jìn)制編輯器手動確認(rèn)每個(gè)字段的位置和長度再寫腳本。不要一上來就寫腳本容易因?yàn)槠撇洛e而浪費(fèi)時(shí)間。4.3 第二步XOR還原與密鑰確認(rèn)假設(shè)通過已知明文攻擊我們猜測密鑰是單字節(jié)0x5A。寫腳本還原并驗(yàn)證。def try_xor_keys(data_section, candidate_keys): 嘗試多個(gè)候選密鑰輸出看起來最像壓縮數(shù)據(jù)的 results [] for key in candidate_keys: if isinstance(key, int): decrypted bytes(b ^ key for b in data_section) else: decrypted bytes(data_section[i] ^ key[i % len(key)] for i in range(len(data_section))) # 檢查是否有壓縮魔數(shù) magic_score 0 if decrypted[:2] in [b\x78\x01, b\x78\x9C, b\x78\xDA]: magic_score 10 elif decrypted[:2] b\x1F\x8B: magic_score 10 elif decrypted[:4] b\x04\x22\x4D\x18: magic_score 10 # 檢查可打印字符比例 printable sum(1 for b in decrypted[:100] if 32 b 127) printable_ratio printable / min(100, len(decrypted)) results.append({ key: key, magic_score: magic_score, printable_ratio: printable_ratio, decrypted: decrypted }) # 按magic_score和printable_ratio排序 results.sort(keylambda x: (x[magic_score], x[printable_ratio]), reverseTrue) return results # 候選密鑰單字節(jié)0x00-0xFF candidates list(range(256)) results try_xor_keys(result[data_section], candidates) for r in results[:5]: key_repr f0x{r[key]:02X} if isinstance(r[key], int) else r[key] print(fKey: {key_repr}, Magic score: {r[magic_score]}, Printable: {r[printable_ratio]:.2f}) print(f First 16 bytes: {r[decrypted][:16].hex()})如果單字節(jié)密鑰都不對試試多字節(jié)。多字節(jié)密鑰的候選可以來自文件里其他位置的字符串、程序二進(jìn)制里的常量、常見弱密鑰如12345678、password。4.4 第三步校驗(yàn)驗(yàn)證與數(shù)據(jù)完整性確認(rèn)XOR還原后用還原后的數(shù)據(jù)算校驗(yàn)和文件頭里的checksum對比。import zlib def verify_checksum(data, expected_checksum, algorithmcrc32): if algorithm crc32: calculated zlib.crc32(data) 0xFFFFFFFF elif algorithm adler32: calculated zlib.adler32(data) 0xFFFFFFFF else: raise ValueError(fUnknown algorithm: {algorithm}) # 嘗試兩種字節(jié)序 expected_le expected_checksum expected_be struct.unpack(I, struct.pack(I, expected_checksum))[0] match_le (calculated expected_le) match_be (calculated expected_be) print(fCalculated: 0x{calculated:08X}) print(fExpected (LE): 0x{expected_le:08X}, match: {match_le}) print(fExpected (BE): 0x{expected_be:08X}, match: {match_be}) return match_le or match_be # 用XOR還原后的數(shù)據(jù)驗(yàn)證 best_result results[0] decrypted_data best_result[decrypted] verify_checksum(decrypted_data, result[checksum], crc32)如果校驗(yàn)通過說明XOR密鑰正確數(shù)據(jù)完整。如果不通過可能密鑰不對、校驗(yàn)算法不對、校驗(yàn)范圍不對可能只校驗(yàn)數(shù)據(jù)區(qū)的一部分、或者校驗(yàn)是在XOR之前算的那就用原始數(shù)據(jù)區(qū)算。實(shí)操心得校驗(yàn)不通過時(shí)先別急著換密鑰。試試用原始數(shù)據(jù)未XOR算校驗(yàn)如果通過了說明校驗(yàn)是在XOR之前算的XOR層在校驗(yàn)層之后。這個(gè)順序判斷能省很多時(shí)間。4.5 第四步解壓與原始數(shù)據(jù)導(dǎo)出校驗(yàn)通過后解壓就是標(biāo)準(zhǔn)操作了。import zlib def decompress_data(data): # 先試zlib try: result zlib.decompress(data) print(fzlib解壓成功原始長度: {len(result)}) return result, zlib except zlib.error as e: print(fzlib失敗: {e}) # 試raw deflate try: result zlib.decompress(data, -15) print(fraw deflate解壓成功原始長度: {len(result)}) return result, deflate except zlib.error as e: print(fraw deflate失敗: {e}) # 試gzip import gzip try: result gzip.decompress(data) print(fgzip解壓成功原始長度: {len(result)}) return result, gzip except Exception as e: print(fgzip失敗: {e}) return None, None original_data, format_used decompress_data(decrypted_data) if original_data: with open(original_data.bin, wb) as f: f.write(original_data) print(f原始數(shù)據(jù)已導(dǎo)出格式: {format_used}) # 如果是文本打印前500字符 try: text original_data.decode(utf-8) print(前500字符:) print(text[:500]) except UnicodeDecodeError: print(二進(jìn)制數(shù)據(jù)前64字節(jié):) print(original_data[:64].hex())4.6 第五步結(jié)果驗(yàn)證與迭代導(dǎo)出原始數(shù)據(jù)后驗(yàn)證是否合理如果是JSON/XML用解析器試解析。如果是結(jié)構(gòu)化二進(jìn)制檢查字段是否符合預(yù)期。如果是圖片/音頻用對應(yīng)查看器打開。如果還是亂碼可能還有一層沒剝比如原始數(shù)據(jù)本身也XOR了或者壓縮格式是自定義的。迭代方向換XOR密鑰如果校驗(yàn)沒通過。換校驗(yàn)算法CRC32換Adler32或換自定義多項(xiàng)式。換壓縮格式試lz4、zstd、bzip2。檢查是否有長度前綴或后綴需要去掉。檢查數(shù)據(jù)區(qū)是否被分成了多個(gè)塊每塊單獨(dú)處理。5. 常見問題與排查技巧實(shí)錄5.1 問題速查表現(xiàn)象可能原因排查方法找不到可讀字符串文件整體被XOR或壓縮用binwalk掃描試常見XOR密鑰字符串位置不連續(xù)結(jié)構(gòu)中有變長字段或?qū)R填充檢查字符串間的字節(jié)可能是長度或偏移XOR還原后無壓縮魔數(shù)XOR密鑰不對或壓縮格式無魔數(shù)試更多密鑰試raw deflate校驗(yàn)總是不通過算法不對、字節(jié)序不對、范圍不對試CRC32/Adler32試大小端試部分范圍解壓報(bào)不完整數(shù)據(jù)被截?cái)嗷蛴卸嘤嘧止?jié)用decompressobj檢查長度字段解壓后還是亂碼還有一層XOR或自定義編碼檢查解壓后數(shù)據(jù)的熵值和字符串多個(gè)數(shù)據(jù)塊長度不一致每塊獨(dú)立壓縮或XOR分別處理每塊檢查塊頭文件頭字段值明顯不合理字段偏移猜錯或類型不對手動在十六進(jìn)制編輯器里核對5.2 獨(dú)家避坑技巧技巧一先靜態(tài)后動態(tài)別急著上調(diào)試器。很多人一上來就開調(diào)試器附加程序結(jié)果在幾千個(gè)函數(shù)里迷路。先用strings和十六進(jìn)制編輯器做靜態(tài)分析把結(jié)構(gòu)猜個(gè)大概再用調(diào)試器驗(yàn)證。靜態(tài)分析能告訴你是什么動態(tài)分析能告訴你怎么用。技巧二保存每一步的中間結(jié)果。XOR還原后的數(shù)據(jù)、解壓后的數(shù)據(jù)都存成單獨(dú)文件。這樣如果后面步驟出錯不用從頭再來。而且中間結(jié)果本身可能包含線索比如XOR還原后的數(shù)據(jù)里可能有新的字符串。技巧三注意字節(jié)對齊。很多格式的字段是4字節(jié)或8字節(jié)對齊的。如果你發(fā)現(xiàn)字段偏移總是差1-2字節(jié)可能是對齊填充。檢查字符串后面是否有00填充到4字節(jié)邊界。技巧四校驗(yàn)值可能是對部分?jǐn)?shù)據(jù)算的。有些格式只校驗(yàn)數(shù)據(jù)區(qū)的前N字節(jié)或者跳過某些字段。如果全量校驗(yàn)不通過試試排除文件頭、排除末尾的填充、或者只校驗(yàn)數(shù)據(jù)區(qū)的前半部分。技巧五XOR密鑰可能是文件里某個(gè)字段的值。比如文件頭里有個(gè)seed字段XOR密鑰就是seed的某種變換取反、加1、循環(huán)移位。檢查文件頭里所有看起來像隨機(jī)數(shù)的字段它們可能是密鑰來源。技巧六壓縮數(shù)據(jù)可能有多層。有些格式先zlib壓縮再整體XORXOR還原后是zlib解壓后又是另一層zlib。用binwalk能自動識別嵌套或者手動解壓后檢查結(jié)果是否還有壓縮魔數(shù)。技巧七別忽略文件末尾。有些格式在文件末尾追加了額外數(shù)據(jù)比如簽名、填充、第二個(gè)數(shù)據(jù)塊。文件頭里的data_length可能只覆蓋第一個(gè)塊末尾還有東西。用十六進(jìn)制編輯器跳到文件末尾看看。技巧八用已知樣本對比。如果你能生成一個(gè)已知內(nèi)容的存檔用原程序保存一個(gè)簡單配置然后和未知存檔對比差異部分就是數(shù)據(jù)區(qū)相同部分就是文件頭和固定結(jié)構(gòu)。這是最快的方法但前提是原程序還能用。5.3 一個(gè)完整的排查案例假設(shè)你拿到一個(gè)存檔strings輸出如下00000000 SAVE 00000010 v1.0 00000020 crc32 00000030 offset 00000040 size 00000050 ...亂碼開始十六進(jìn)制查看0x50之后的數(shù)據(jù)發(fā)現(xiàn)熵值很高。文件頭里offset字段值是0x00000050size字段值是0x00001000。crc32字段值是0x12345678。第一步提取0x50到0x1050的數(shù)據(jù)區(qū)。第二步試單字節(jié)XOR。用0x00到0xFF逐個(gè)試檢查還原后是否有78 9C。假設(shè)試到0x5A時(shí)還原后開頭是78 9C。第三步用0x5A還原整個(gè)數(shù)據(jù)區(qū)算CRC32。假設(shè)算出來是0x87654321和文件頭里的0x12345678不等。試大端序還是不等。試Adler32不等。第四步懷疑校驗(yàn)是在XOR之前算的。用原始數(shù)據(jù)區(qū)算CRC32得到0x12345678匹配說明校驗(yàn)層在XOR層之前。第五步用0x5A還原數(shù)據(jù)區(qū)然后zlib解壓。解壓成功得到JSON文本。第六步驗(yàn)證JSON格式正確字段符合預(yù)期。完成。這個(gè)案例的關(guān)鍵點(diǎn)是第四步——校驗(yàn)順序的判斷。如果沒想到這一點(diǎn)可能會在密鑰上反復(fù)試?yán)速M(fèi)大量時(shí)間。6. 工具選型與自動化腳本6.1 工具對比與選擇建議工具適用場景優(yōu)點(diǎn)缺點(diǎn)010 Editor手動分析結(jié)構(gòu)模板功能強(qiáng)可視化好收費(fèi)HxD快速查看免費(fèi)輕量功能少ImHex開源分析模式語言靈活插件多學(xué)習(xí)曲線陡binwalk自動掃描識別嵌套格式快誤報(bào)多x64dbg動態(tài)調(diào)試能看程序?qū)嶋H行為需要程序可運(yùn)行Python腳本批量處理靈活可自動化需要編程基礎(chǔ)我的建議手動分析用010 Editor或ImHex自動掃描用binwalk批量處理用Python。動態(tài)調(diào)試作為最后手段因?yàn)楹芏嗬铣绦蛞呀?jīng)跑不起來了。6.2 自動化腳本框架把前面的步驟整合成一個(gè)腳本輸入文件路徑輸出原始數(shù)據(jù)。#!/usr/bin/env python3 存檔封裝拆解工具 自動嘗試XOR、校驗(yàn)、壓縮的常見組合 import struct import zlib import gzip import sys import os class SaveFileUnpacker: def __init__(self, filepath): self.filepath filepath with open(filepath, rb) as f: self.raw f.read() self.header {} self.data_section None self.decrypted None self.original None def parse_header(self, magic_offset0, fieldsNone): 根據(jù)提供的字段定義解析文件頭 if fields is None: # 默認(rèn)字段定義需根據(jù)實(shí)際調(diào)整 fields [ (magic, 0x00, 4, bytes), (version, 0x04, 4, uint32), (checksum, 0x08, 4, uint32), (data_offset, 0x0C, 4, uint32), (data_length, 0x10, 4, uint32), ] for name, offset, size, ftype in fields: raw self.raw[offset:offsetsize] if ftype bytes: value raw elif ftype uint32: value struct.unpack(I, raw)[0] elif ftype uint16: value struct.unpack(H, raw)[0] else: value raw self.header[name] value # 提取數(shù)據(jù)區(qū) offset self.header.get(data_offset, 0) length self.header.get(data_length, len(self.raw) - offset) self.data_section self.raw[offset:offsetlength] return self.header def try_xor(self, keysNone): 嘗試XOR密鑰 if keys is None: keys list(range(256)) best None best_score -1 for key in keys: if isinstance(key, int): decrypted bytes(b ^ key for b in self.data_section) else: decrypted bytes(self.data_section[i] ^ key[i % len(key)] for i in range(len(self.data_section))) score self._score_data(decrypted) if score best_score: best_score score best (key, decrypted) if best: self.decrypted best[1] return best[0], best_score return None, -1 def _score_data(self, data): 給數(shù)據(jù)打分壓縮魔數(shù)可打印字符比例 score 0 if len(data) 2: if data[:2] in [b\x78\x01, b\x78\x9C, b\x78\xDA]: score 100 elif data[:2] b\x1F\x8B: score 100 if len(data) 4: if data[:4] b\x04\x22\x4D\x18: score 100 elif data[:4] b\x28\xB5\x2F\xFD: score 100 # 可打印字符比例 sample data[:200] printable sum(1 for b in sample if 32 b 127) score (printable / len(sample)) * 50 return score def verify_checksum(self, data, expected, algorithmcrc32): 驗(yàn)證校驗(yàn)和 if algorithm crc32: calculated zlib.crc32(data) 0xFFFFFFFF elif algorithm adler32: calculated zlib.adler32(data) 0xFFFFFFFF else: return False # 嘗試兩種字節(jié)序 expected_le expected expected_be struct.unpack(I, struct.pack(I, expected))[0] return calculated expected_le or calculated expected_be def decompress(self, data): 嘗試多種解壓格式 # zlib try: return zlib.decompress(data), zlib except: pass # raw deflate try: return zlib.decompress(data, -15), deflate except: pass # gzip try: return gzip.decompress(data), gzip except: pass # lz4 try: import lz4.frame return lz4.frame.decompress(data), lz4 except: pass # zstd try: import zstandard as zstd dctx zstd.ZstdDecompressor() return dctx.decompress(data), zstd except: pass return None, None def run(self): 完整流程 print(f處理文件: {self.filepath}) print(f文件大小: {len(self.raw)} bytes) # 1. 解析文件頭 print(\n[1] 解析文件頭...) self.parse_header() for k, v in self.header.items(): if isinstance(v, bytes): print(f {k}: {v}) elif isinstance(v, int): print(f {k}: 0x{v:X} ({v})) # 2. 嘗試XOR print(\n[2] 嘗試XOR還原...) key, score self.try_xor() if key is not None: key_repr f0x{key:02X} if isinstance(key, int) else key print(f 最佳密鑰: {key_repr}, 得分: {score:.2f}) print(f 還原后前16字節(jié): {self.decrypted[:16].hex()}) else: print( 未找到合適的XOR密鑰) self.decrypted self.data_section # 3. 驗(yàn)證校驗(yàn) print(\n[3] 驗(yàn)證校驗(yàn)和...) expected self.header.get(checksum, 0) for algo in [crc32, adler32]: for data_name, data in [(XOR后, self.decrypted), (原始, self.data_section)]: if self.verify_checksum(data, expected, algo): print(f 校驗(yàn)通過: {algo} on {data_name}數(shù)據(jù)) break # 4. 解壓 print(\n[4] 嘗試解壓...) original, fmt self.decompress(self.decrypted) if original: self.original original print(f 解壓成功: {fmt}, 原始長度: {len(original)}) # 導(dǎo)出 output_path self.filepath .unpacked with open(output_path, wb) as f: f.write(original) print(f 已導(dǎo)出到: {output_path}) # 嘗試顯示文本 try: text original.decode(utf-8) print(f 前200字符:\n{text[:200]}) except: print(f 前32字節(jié): {original[:32].hex()}) else: print( 解壓失敗可能還有未識別的層) # 導(dǎo)出XOR還原后的數(shù)據(jù)供手動分析 output_path self.filepath .decrypted with open(output_path, wb) as f: f.write(self.decrypted) print(f 已導(dǎo)出XOR還原數(shù)據(jù)到: {output_path}) if __name__ __main__: if len(sys.argv) 2: print(用法: python unpacker.py savefile) sys.exit(1) unpacker SaveFileUnpacker(sys.argv[1]) unpacker.run()這個(gè)腳本是一個(gè)框架實(shí)際使用時(shí)需要根據(jù)具體格式調(diào)整parse_header里的字段定義。它的價(jià)值在于把試錯過程自動化了——自動試256個(gè)單字節(jié)XOR密鑰、自動試多種校驗(yàn)算法、自動試多種解壓格式。你只需要提供文件頭結(jié)構(gòu)剩下的交給腳本。實(shí)操心得腳本跑完后如果解壓失敗別急著改腳本。先看導(dǎo)出的.decrypted文件用十六進(jìn)制編輯器手動檢查。有時(shí)候腳本的評分函數(shù)沒選對最佳密鑰但手動看能發(fā)現(xiàn)線索。自動化是輔助最終判斷還是要靠人。7. 影響范圍與擴(kuò)展思考這套拆解方法不只適用于存檔文件。任何二進(jìn)制封裝的場景都能用網(wǎng)絡(luò)協(xié)議的數(shù)據(jù)包、嵌入式設(shè)備的固件、游戲資源包、數(shù)據(jù)庫的導(dǎo)出文件。核心思路是一樣的——找字符串引用、識別封裝層、逐層剝離。從影響范圍看掌握這套方法意味著你能處理一類問題而不是一個(gè)具體問題。今天拆的是存檔明天遇到一個(gè)未知格式的配置文件同樣的流程走一遍strings看線索、十六進(jìn)制看結(jié)構(gòu)、試XOR、試校驗(yàn)、試解壓。大部分格式都逃不出這幾層。擴(kuò)展方向有幾個(gè)。一是自動化程度可以更高比如用符號執(zhí)行或模糊測試自動推斷字段邊界。二是支持更多壓縮格式比如brotli、lzo、snappy。三是結(jié)合動態(tài)分析如果程序能運(yùn)行用調(diào)試器直接看它怎么讀文件比靜態(tài)猜快得多。四是處理加密而非XOR如果遇到AES或RSA就需要密鑰提取或側(cè)信道分析那是另一個(gè)領(lǐng)域了。我個(gè)人在實(shí)際操作中的體會是耐心比技術(shù)更重要。很多時(shí)候不是不會而是試了幾次沒成功就放棄了。XOR密鑰有256種可能校驗(yàn)算法有幾十種壓縮格式有十幾種組合起來確實(shí)多。但通過字符串引用和結(jié)構(gòu)分析能把可能性縮小到幾個(gè)剩下的就是逐個(gè)驗(yàn)證。每次成功拆開一個(gè)格式那種原來如此的感覺就是做這行的樂趣所在。最后分享一個(gè)小技巧建一個(gè)自己的格式庫。每次拆開一個(gè)新格式把文件頭結(jié)構(gòu)、XOR密鑰規(guī)律、校驗(yàn)算法、壓縮格式記下來。下次遇到類似的直接查庫能省大量時(shí)間。我自己的庫里已經(jīng)存了幾十種格式很多是同一個(gè)軟件的不同版本結(jié)構(gòu)大同小異。這個(gè)習(xí)慣讓我處理新格式的速度越來越快。