Re Crypto Decrypt

加密数据还原

何时使用 / 何时不用

• 用：需要把密文（数据 blob / 流量 / 配置段）还原成明文
• 用：算法与密钥已知（或已由 [[re-crypto-id]] / [[re-crypto-keys]] 得出），需要批量解密
• 用：从样本里还原解密逻辑并重写为独立可复用的脚本
• 不用：算法/密钥都未知（先 [[re-crypto-id]] → [[re-crypto-keys]]）
• 不用：静态可读的明文（[[re-triage]] 熵低直接读）
• 不用：想跑原样本看输出（那是 [[re-behavior]] / [[re-sandbox]] 的活——解密脚本是为了脱离样本复现）

工具准备

所有工具先验证再使用。本技能处理的是转储/反编译产物与密文数据，运行样本环节在 [[re-sandbox]] 内（[[re-analyze/platform-tips]] 最高原则）。

python3 + pycryptodome —— 解密脚本主力

• Linux: apt install python3 python3-pip / dnf install python3 python3-pip / pacman -S python python-pip
• macOS: brew install python
• Windows: python.org 安装包（勾选 Add to PATH）；WSL 内 Linux 版
• 加密库: pip install pycryptodome（AES/DES/RSA/ChaCha 等标准算法）
• 验证: python3 -c "from Crypto.Cipher import AES; print('ok')"；python3 --version

目标程序转储/反编译产物 —— 还原算法的依据

• 转储: [[re-memdump]] 默认转储（gcore）——定位密文输入点与解密调用现场
• 反编译: [[re-ghidra]] / [[re-ida]] / [[re-radare2]] 的产物（函数反编译视图）
• 验证: file out 是 ELF core；反编译器里能找到目标函数（ghidra / rizin 可启动）

angr（可选）—— 符号执行补足难还原的逻辑

• 全平台: pip install angr——Python 版本兼容性以 [[re-angr]] 的「工具准备」为准（版本矩阵只在该处维护一份，避免多处漂移）；依赖多，建议 venv: python3 -m venv venv && venv/bin/pip install angr
• 验证: venv/bin/python -c "import angr; print(angr.__version__)"
• 用途: 反编译分支爆炸/混淆严重时，用符号执行求解密函数输出（加载目标二进制 → 设密文输入为符号 → 约束求解）

操作步骤

按顺序执行，每步记下结果。前提：算法（[[re-crypto-id]]）与密钥（[[re-crypto-keys]]）已确认或至少有一方候选；脚本与验证结果（明文样本 + sha256）存档供报告引用。

0. 证伪"密文"：先定位真实密文边界（跳过此步是加密分析最常见的失败方式）：

   • 高熵段可能是"伪密文"——容器/压缩数据流被误当加密层（如 zip 数据本体、附加在图片后的压缩流）。压缩数据熵同样是 8.0，与加密不可区分
   • 先做整体结构观察：文件头/尾魔数、格式 marker 分布（JPEG 逐段统计大小）、尾部已知结构当锚点（zip EOCD 的 cd_offset/cd_size 反推数据起点，EOCD 签名是已知明文）
   • 定格式边界不要用 first/last 裸 marker 搜索：标记字节对可以合法出现在载荷里——PNG 的 IEND 字样可落在 tEXt chunk 数据内、JPEG 的 FF D9 可落在 APP1 等 length-delimited 段内（拿首个命中当结尾会截掉合法数据）。正确做法是按格式规范解析：PNG 从 8 字节签名起按 Length/Type/Data/CRC 逐 chunk 遍历，直到结构合法且长度为 0 的 IEND（必要时逐块验 CRC）；JPEG 从 SOI 起按 marker/segment 解析，进入 SOS 后按 FF00 stuffing 与 RSTn 规则处理，语法位置成立的 EOI 才是结尾。裸字节搜索只能用来产生候选位置，候选要经结构校验后才能定边界
   • 同尺寸文件先比尾部 16 字节/整体哈希——"换头副本"（同一 payload 的第二种封装，仅头部不同）直接省掉一整条支线
   • 压缩率是信号：解压后明显变大的层说明内容有结构（可压=编码/明文），接近 1:1 说明内层已压缩或加密
   • 确认是孤立高熵 blob 后再进入步骤 1 的密文定位

1. 定位解密函数（交叉引用密文输入点）：

   • 从密文偏移出发：[[re-crypto-id]] 步骤 2 的高熵区偏移 → 反编译器里找读取该偏移/该全局变量的函数 → 沿调用链看谁写入了它（写入方常是解密函数）
   • 从 API 出发：[[re-crypto-keys]] 步骤 4 找到的 Crypt*/EVP_* 调用点就是候选；观察入参的密文指针是否指向步骤 2 的偏移
   • 动态辅助: [[re-gdb]] / [[re-x64dbg]] 在候选函数下断点（沙箱内），打印入参/返回值，确认它输出可读明文
   • 找不到明确函数 → 密文可能由内联展开的算法处理（无调用边界），回 [[re-crypto-id]] 用数据特征定位（常量表引用处）

2. 反编译还原算法：

   • 把反编译视图逐段抄译成伪代码，明确：算法（AES-CBC/自定义 XOR…）、密钥与 IV 来源（固定值/派生/上下文）、模式与填充（CBC 的 IV 在哪、PKCS7 还是零填充）
   • 自定义算法: 逐条翻译位运算（XOR/移位/查表），注意字节序（[[re-proto-rev]] 坑 1 同理——长度/密钥字段先试大小端）
   • 还原标准算法时留意细节：AES 用 CBC 还是 ECB、key 长度 16/24/32、IV 是否复用密钥（常见错误实现，见坑 1）
   • 反编译看不清的循环/查表逻辑 → angr 符号执行兜底（构造求解脚本，把函数当黑盒求输出）

3. 重写为独立脚本（python）：

   # decrypt.py —— 按反编译还原的算法重写
   from Crypto.Cipher import AES
   import sys
   key = bytes.fromhex("...")          # 来自 [[re-crypto-keys]] 步骤 1/2/5
   iv  = key[:16]                       # 样本实现: IV = key 前 16 字节
   data = open(sys.argv[1], 'rb').read()
   pt = AES.new(key, AES.MODE_CBC, iv).decrypt(data)
   print(pt)                            # 或写文件 + 后续校验

   • 脚本参数化（密钥/IV/输入文件走参数或配置），一次写对、反复复用——批量解流量用
   • 关键：脚本逻辑必须与样本一致（填充处理、尾部截断），不一致时回查边界条件（见坑 1）

4. 用已知明文验证：

   • 已知明文来源：协议头 magic（如 \xAA\x55）、文件头（PK zip / \x89PNG）、报文字段（[[re-proto-rev]] 步骤 2 的固定头）、或 [[re-behavior]] 行为里观察到的明文串
   • 验证方式：解密输出里能找到已知明文片段 → 成功；找不到 → 依次检查：密钥/IV 是否对（[[re-crypto-keys]] 候选逐个试）、字节序、填充处理、是否还有外层加密（见坑 3）
   • 无已知明文时用"可读性"验证：输出可打印率 >70% 或通过 file - 识别出格式（PDF/zip/文本）→ 视为成功候选

5. 流量场景：解出明文流量流：

   • 已按 [[re-crypto-id]] / [[re-crypto-keys]] 确认流量加密算法与密钥后，从 pcap 提取密文载荷（[[re-netcap]] 步骤 3 tshark 导出）：

     tshark -r c2.pcap -Y 'tcp.payload' -T fields -e data.data | sed 's/://g' | xxd -r -p > payloads.bin

   • 写批量脚本：按流切分（每 TCP 流一段）、逐段调用解密逻辑（同步骤 3 的脚本），输出明文流文件
   • 验证: 明文流里能看到协议结构（会话序号/命令字），再转 [[re-proto-rev]] 做状态机重建
   • 注意会话密钥变化（每次握手重新派生）→ 脚本里为每个会话取对应密钥（[[re-crypto-keys]] 步骤 5 的派生还原）