1. 從一個存檔文件說起為什么需要拆解封裝層手里拿到一個二進制存檔文件雙擊打不開用十六進制編輯器看是一堆亂碼但文件頭幾個字節(jié)又隱約有規(guī)律——這種場景在逆向分析、數(shù)據(jù)恢復、老舊系統(tǒng)遷移里太常見了。標題里說的沿字符串引用還原存檔封裝本質(zhì)上就是一條逆向工程的分析路徑你手上只有一堆字節(jié)但通過觀察文件里出現(xiàn)的字符串引用比如某個字段名、某個路徑片段、某個固定標記反推出這個存檔是怎么被封裝的然后一層層剝開XOR混淆、校驗和、壓縮這三層外殼最終拿到原始數(shù)據(jù)。這件事能解決什么問題舉個實際場景某款老工具生成的工程存檔原程序已經(jīng)找不到了但你需要把里面的配置數(shù)據(jù)導出來遷移到新系統(tǒng)?；蛘吣阍谧霭踩治瞿玫揭粋€可疑的二進制文件需要判斷它內(nèi)部是否藏了壓縮數(shù)據(jù)。再或者你在做數(shù)據(jù)恢復一個損壞的存檔文件需要先搞清楚它的封裝結(jié)構(gòu)才能定位損壞位置。這些場景的共同點是你沒有源碼沒有文檔只有一個二進制文件和你的分析能力。適合誰來參考有一定二進制分析基礎、會用十六進制編輯器、了解基本壓縮格式zlib、gzip、lz4之類和校驗算法CRC32、Adler32、簡單累加和的人。如果你完全沒接觸過二進制分析這篇文章也能看懂思路但實操部分需要你補一些基礎知識。我會盡量把每一步的為什么講清楚而不是只丟一堆命令。整篇文章圍繞一條主線從字符串引用入手識別封裝層次逐層拆解XOR、校驗、壓縮最終還原出可讀的原始數(shù)據(jù)。這條主線在逆向分析里是通用方法論不局限于某一個具體格式。下面我按實際操作的順序把每個環(huán)節(jié)拆開講。2. 封裝結(jié)構(gòu)的整體設計思路與識別方法2.1 為什么存檔要加這三層先說清楚一個前提不是所有存檔都會同時用XOR、校驗、壓縮這三層。但一旦你遇到一個看起來有規(guī)律但讀不懂的文件這三層是最常見的組合。它們的職責分工很明確。壓縮層解決的是體積問題。原始數(shù)據(jù)可能是JSON、XML、或者結(jié)構(gòu)化的二進制記錄直接存體積大用zlib或lz4壓一下能省很多空間。壓縮后的數(shù)據(jù)有個特征熵值高字節(jié)分布接近隨機但通常開頭幾個字節(jié)是固定的魔數(shù)比如zlib的78 9C、78 01、78 DA。校驗層解決的是完整性驗證。存檔在傳輸或存儲過程中可能損壞加一個CRC32或Adler32讀取時先校驗再解壓能提前發(fā)現(xiàn)損壞而不是解壓到一半報錯。校驗值通常緊挨著被校驗的數(shù)據(jù)存放長度固定CRC32是4字節(jié)Adler32也是4字節(jié)。XOR層解決的是不想讓你直接看懂的問題。它不算真正的加密因為密鑰往往很短且固定但足以讓直接打開文件的人看到亂碼。XOR的特點是同一個密鑰異或兩次就還原所以加密解密是同一個操作。密鑰可能是一個字節(jié)、一個固定字符串、或者一段循環(huán)使用的字節(jié)序列。三層疊加的順序通常是原始數(shù)據(jù) → 壓縮 → 加校驗 → XOR混淆 → 寫入文件。讀取時反過來讀文件 → XOR還原 → 校驗驗證 → 解壓 → 原始數(shù)據(jù)。但實際順序可能變比如先XOR再壓縮或者校驗放在XOR之前。這就是為什么不能想當然必須通過分析確認。2.2 字符串引用為什么是最好的切入點二進制文件里如果全是壓縮或XOR后的數(shù)據(jù)你確實什么都看不出來。但封裝結(jié)構(gòu)本身往往留有線索——這些線索就是字符串引用。具體來說一個存檔文件通常包含文件頭標識版本、類型、元數(shù)據(jù)區(qū)記錄各個數(shù)據(jù)塊的位置和長度、數(shù)據(jù)區(qū)實際內(nèi)容。文件頭和元數(shù)據(jù)區(qū)往往不壓縮也不XOR因為程序需要快速讀取它們來定位數(shù)據(jù)。這些區(qū)域里就可能出現(xiàn)字符串比如固定的魔數(shù)標記如SAVE、ARCH、PK\x03\x04zip的標記字段名如version、checksum、offset、length路徑片段如config/、data/、.json、.bin錯誤信息或提示文本用十六進制編輯器打開文件切到ASCII視圖掃一眼有沒有可讀字符串。更高效的方法是用strings命令Linux/macOS自帶Windows可以用Sysinternals的strings或者Git Bash里的提取所有長度≥4的可打印字符串然后觀察哪些像是結(jié)構(gòu)標記。strings -a -t x savefile.bin | head -50-a表示掃描整個文件不只是數(shù)據(jù)段-t x表示輸出字符串在文件中的十六進制偏移。這樣你能看到每個字符串出現(xiàn)在文件的什么位置位置信息非常關鍵——如果某個字符串出現(xiàn)在文件開頭附近它很可能是文件頭的一部分如果出現(xiàn)在中間可能是某個數(shù)據(jù)塊的標記。2.3 從字符串位置反推結(jié)構(gòu)布局拿到字符串列表和偏移后下一步是推斷結(jié)構(gòu)。假設你看到這樣的輸出00000000 SAVE 00000010 version 00000020 checksum 00000030 data_offset 00000040 data_length 00000050 ...后面是亂碼這說明文件頭至少到0x50左右包含了版本、校驗值、數(shù)據(jù)偏移和長度這些字段。每個字段后面跟著的實際值需要你去看十六進制。比如version后面4個字節(jié)可能是01 00 00 00小端序的1checksum后面4個字節(jié)是校驗值data_offset后面4個字節(jié)是數(shù)據(jù)區(qū)起始位置data_length后面4個字節(jié)是數(shù)據(jù)區(qū)長度。這里有個關鍵技巧字符串本身往往不是數(shù)據(jù)而是標簽。程序讀取時先匹配標簽再讀標簽后面的值。所以你在十六進制里看到的是標簽值的交替排列。標簽是ASCII值是二進制。找到這個規(guī)律結(jié)構(gòu)就清晰了一半。注意有些格式的字符串是定長字段比如固定16字節(jié)不足補零有些是長度前綴前面1或2字節(jié)表示字符串長度。觀察字符串后面跟的是00還是長度值能判斷是哪種。2.4 判斷是否存在XOR層的三個信號不是所有文件都有XOR層。怎么判斷看三個信號。信號一字符串區(qū)域之外的數(shù)據(jù)熵值異常高但又不是壓縮格式。壓縮數(shù)據(jù)的熵值也很高但壓縮數(shù)據(jù)通常有魔數(shù)。如果你看到一段數(shù)據(jù)熵值高、沒有已知壓縮魔數(shù)、而且長度和某個字段比如data_length對得上那可能是XOR后的數(shù)據(jù)。信號二文件里有兩段相似但不完全相同的數(shù)據(jù)。比如兩個數(shù)據(jù)塊長度一樣內(nèi)容看起來都是亂碼但逐字節(jié)對比發(fā)現(xiàn)差異很小。這可能是同一份數(shù)據(jù)用不同密鑰XOR或者一份是XOR后的、一份是原始的用于對比分析。信號三已知明文攻擊。如果你知道原始數(shù)據(jù)里應該包含某個固定字符串比如JSON開頭的{或XML開頭的?xml而文件里對應位置是亂碼把亂碼和已知明文XOR就能得到密鑰。這是最直接的確認方法。舉個例子假設data_offset指向的位置文件里是9A 8B 8C 8D而你預期原始數(shù)據(jù)開頭是7B 22 0A 20{加換行加空格逐字節(jié)XOR9A ^ 7B E1 8B ^ 22 A9 8C ^ 0A 86 8D ^ 20 AD得到密鑰片段E1 A9 86 AD。如果這個密鑰在文件其他位置重復出現(xiàn)或者用它對其他數(shù)據(jù)塊XOR后能得到可讀內(nèi)容那XOR層就確認了。3. 核心細節(jié)解析XOR、校驗、壓縮的拆解要點3.1 XOR層的密鑰識別與還原實操XOR還原的核心是找到密鑰。密鑰的形態(tài)有幾種按難度從低到高排列。單字節(jié)密鑰是最簡單的。整個數(shù)據(jù)區(qū)所有字節(jié)都異或同一個值。怎么找如果數(shù)據(jù)區(qū)里有一段你已知的明文比如文件末尾可能有固定的結(jié)束標記拿密文和明文XOR就能得到密鑰?；蛘哂妙l率分析如果原始數(shù)據(jù)是文本空格0x20出現(xiàn)頻率最高密文里出現(xiàn)頻率最高的字節(jié)異或0x20就是密鑰。固定多字節(jié)密鑰稍復雜。密鑰是一個固定長度的字節(jié)序列循環(huán)使用。比如密鑰是KEY1236字節(jié)那么數(shù)據(jù)第1字節(jié)異或K第2字節(jié)異或E第7字節(jié)又異或K以此類推。識別方法是如果數(shù)據(jù)里有兩段相同明文被加密密文的差異會呈現(xiàn)周期性。或者用已知明文攻擊得到密鑰片段后觀察周期。變長密鑰最麻煩密鑰可能根據(jù)位置變化比如密鑰是位置索引的函數(shù)。這種情況通常需要結(jié)合程序邏輯分析純靜態(tài)分析很難。但實際遇到的存檔格式里變長密鑰很少見因為實現(xiàn)復雜且沒必要。實操還原的步驟確定數(shù)據(jù)區(qū)的起始偏移和長度從文件頭字段讀取。提取數(shù)據(jù)區(qū)字節(jié)到單獨文件。用猜測的密鑰做XOR輸出結(jié)果。檢查結(jié)果是否有已知壓縮魔數(shù)或可讀文本。如果沒有調(diào)整密鑰或密鑰周期重復。def xor_decrypt(data, key): key可以是bytes或int if isinstance(key, int): return bytes(b ^ key for b in data) else: key_len len(key) return bytes(data[i] ^ key[i % key_len] for i in range(len(data))) # 示例單字節(jié)密鑰0x5A with open(data_section.bin, rb) as f: encrypted f.read() decrypted xor_decrypt(encrypted, 0x5A) with open(decrypted.bin, wb) as f: f.write(decrypted)實操心得XOR還原后先別急著解壓用xxd或十六進制編輯器看一眼開頭。如果看到78 9C、1F 8B、04 22 4D 18這些魔數(shù)說明壓縮層就在里面。如果看到PK那是zip。如果看到可讀文本可能沒有壓縮層直接就是原始數(shù)據(jù)。3.2 校驗層的識別與驗證方法校驗層的識別相對直接因為校驗算法就那么幾種而且校驗值長度固定。CRC324字節(jié)多項式0xEDB88320反射或0x04C11DB7非反射。zlib、gzip、zip都用它。特征是校驗值通常放在被校驗數(shù)據(jù)的后面或前面小端序存儲。Adler324字節(jié)zlib的默認校驗和CRC32二選一。計算比CRC32快但碰撞概率稍高。特征是兩個16位部分低16位是累加和高16位是累加和的累加。簡單累加和1、2或4字節(jié)所有字節(jié)相加取模。老式格式常用。特征是值通常不大且改變一個字節(jié)對結(jié)果影響是線性的。MD5/SHA116或20字節(jié)用于強校驗。特征是長度明顯比CRC長且看起來完全隨機。驗證方法假設文件頭里有個checksum字段值是X。你把數(shù)據(jù)區(qū)提取出來用各種算法算一遍看哪個結(jié)果等于X。如果都不等可能校驗范圍不是整個數(shù)據(jù)區(qū)而是數(shù)據(jù)區(qū)的一部分或者校驗前先做了XOR。import zlib import hashlib data open(data_section.bin, rb).read() crc32_val zlib.crc32(data) 0xFFFFFFFF adler32_val zlib.adler32(data) 0xFFFFFFFF md5_val hashlib.md5(data).hexdigest() sha1_val hashlib.sha1(data).hexdigest() print(fCRC32: {crc32_val:08X}) print(fAdler32: {adler32_val:08X}) print(fMD5: {md5_val}) print(fSHA1: {sha1_val})注意校驗值的字節(jié)序很關鍵。CRC32和Adler32在文件里通常是小端序存儲但有些格式用大端序。算出來的值要按兩種字節(jié)序都試一下。另外有些格式的校驗值是對XOR之前的數(shù)據(jù)算的有些是對XOR之后的算的。如果直接算不對試試先XOR再算。3.3 壓縮層的格式判斷與解壓壓縮層的判斷主要靠魔數(shù)和試解壓。常見壓縮格式的魔數(shù)格式魔數(shù)十六進制說明zlib78 01/78 9C/78 DA最常見78后面的字節(jié)表示壓縮級別gzip1F 8B帶文件頭和CRClz404 22 4D 18幀格式zstd28 B5 2F FD現(xiàn)代格式bzip242 5A 68BZhlzma/xzFD 37 7A 58 5A 00xz格式deflate raw無固定魔數(shù)需要試解壓如果看到78開頭的兩字節(jié)基本可以確定是zlib。zlib的第二個字節(jié)有規(guī)律01表示最快壓縮9C表示默認DA表示最大壓縮。這三個值覆蓋了絕大多數(shù)情況。解壓實操import zlib import gzip import lz4.frame import zstandard as zstd data open(decrypted.bin, rb).read() # 試zlib try: result zlib.decompress(data) print(zlib解壓成功長度:, len(result)) except Exception as e: print(zlib失敗:, e) # 試gzip try: result gzip.decompress(data) print(gzip解壓成功長度:, len(result)) except Exception as e: print(gzip失敗:, e) # 試lz4 try: result lz4.frame.decompress(data) print(lz4解壓成功長度:, len(result)) except Exception as e: print(lz4失敗:, e) # 試zstd try: dctx zstd.ZstdDecompressor() result dctx.decompress(data) print(zstd解壓成功長度:, len(result)) except Exception as e: print(zstd失敗:, e)如果所有標準格式都失敗可能是raw deflate沒有zlib頭。用zlib.decompress(data, -15)試-15表示raw deflate。還不行的話可能是自定義壓縮或者數(shù)據(jù)還有一層XOR沒剝干凈。實操心得解壓失敗時先檢查數(shù)據(jù)長度。zlib解壓需要完整的流如果數(shù)據(jù)被截斷會報Error -5不完整。這時候可以試試zlib.decompressobj()它能解壓部分數(shù)據(jù)。另外有些格式在壓縮數(shù)據(jù)前后加了額外字節(jié)比如長度前綴需要先去掉。3.4 三層順序的判斷邏輯三層順序不是固定的但可以通過以下邏輯判斷如果XOR在壓縮之后XOR還原后能看到壓縮魔數(shù)。這是最常見的情況因為先壓縮再XORXOR的密鑰可以很短甚至單字節(jié)因為壓縮數(shù)據(jù)本身已經(jīng)高熵了。如果XOR在壓縮之前XOR還原后看到的是原始數(shù)據(jù)可讀文本或結(jié)構(gòu)化二進制沒有壓縮魔數(shù)。這種情況少見因為先XOR再壓縮壓縮率會下降XOR后的數(shù)據(jù)熵值高壓縮算法效果差。校驗的位置校驗通常在XOR之前計算對壓縮后的數(shù)據(jù)算然后校驗值和XOR后的數(shù)據(jù)一起存儲。讀取時先XOR還原再校驗再解壓。但也有格式先校驗再XOR讀取時先XOR再校驗。判斷方法用兩種順序各試一次看哪個能通過校驗。判斷流程讀文件頭提取data_offset、data_length、checksum。提取數(shù)據(jù)區(qū)。嘗試XOR還原用已知或猜測的密鑰。對還原后的數(shù)據(jù)算校驗和checksum對比。如果校驗通過嘗試解壓。如果校驗不通過嘗試對原始數(shù)據(jù)未XOR算校驗。如果還不通過檢查校驗范圍是否只是數(shù)據(jù)區(qū)的一部分。4. 完整實操流程從二進制到原始數(shù)據(jù)4.1 環(huán)境準備與工具清單工欲善其事必先利其器。這套流程需要的工具不多但每個都要用熟。十六進制編輯器010 Editor有模板功能能自動解析結(jié)構(gòu)、HxDWindows免費、ImHex開源支持模式語言。我個人常用010 Editor因為它的模板功能可以寫腳本自動解析文件頭。命令行工具xxd十六進制dump、strings提取字符串、file識別文件類型、binwalk自動識別嵌套格式。binwalk特別有用它能自動掃描文件里的壓縮流和文件系統(tǒng)。Python環(huán)境需要zlib標準庫、gzip標準庫、lz4pip install lz4、zstandardpip install zstandard、crcmod可選用于自定義CRC。調(diào)試工具如果存檔有配套程序用x64dbg或gdb附加到程序上在讀取存檔的函數(shù)下斷點觀察它怎么處理數(shù)據(jù)。這是最直接的方法但需要程序還能運行。# 安裝Python依賴 pip install lz4 zstandard crcmod # binwalk基本用法 binwalk savefile.bin # 提取binwalk識別的內(nèi)容 binwalk -e savefile.bin4.2 第一步文件頭解析與字段提取假設我們已經(jīng)用strings和十六進制編輯器確認了文件頭結(jié)構(gòu)。現(xiàn)在寫一個Python腳本自動提取字段。import struct def parse_header(filepath): with open(filepath, rb) as f: data f.read() # 假設文件頭結(jié)構(gòu)根據(jù)實際分析調(diào)整 # 0x00: magic (4 bytes) SAVE # 0x04: version (4 bytes, uint32 LE) # 0x08: checksum (4 bytes, uint32 LE) # 0x0C: data_offset (4 bytes, uint32 LE) # 0x10: data_length (4 bytes, uint32 LE) # 0x14: flags (4 bytes) magic data[0x00:0x04] version struct.unpack(I, data[0x04:0x08])[0] checksum struct.unpack(I, data[0x08:0x0C])[0] data_offset struct.unpack(I, data[0x0C:0x10])[0] data_length struct.unpack(I, data[0x10:0x14])[0] flags struct.unpack(I, data[0x14:0x18])[0] print(fMagic: {magic}) print(fVersion: {version}) print(fChecksum: 0x{checksum:08X}) print(fData offset: 0x{data_offset:X}) print(fData length: {data_length}) print(fFlags: 0x{flags:08X}) # 提取數(shù)據(jù)區(qū) data_section data[data_offset:data_offset data_length] print(fData section extracted: {len(data_section)} bytes) return { magic: magic, version: version, checksum: checksum, data_offset: data_offset, data_length: data_length, flags: flags, data_section: data_section } result parse_header(savefile.bin)注意字段偏移和類型必須根據(jù)實際分析確定上面的代碼只是示例。實際分析時先用十六進制編輯器手動確認每個字段的位置和長度再寫腳本。不要一上來就寫腳本容易因為偏移猜錯而浪費時間。4.3 第二步XOR還原與密鑰確認假設通過已知明文攻擊我們猜測密鑰是單字節(jié)0x5A。寫腳本還原并驗證。def try_xor_keys(data_section, candidate_keys): 嘗試多個候選密鑰輸出看起來最像壓縮數(shù)據(jù)的 results [] for key in candidate_keys: if isinstance(key, int): decrypted bytes(b ^ key for b in data_section) else: decrypted bytes(data_section[i] ^ key[i % len(key)] for i in range(len(data_section))) # 檢查是否有壓縮魔數(shù) magic_score 0 if decrypted[:2] in [b\x78\x01, b\x78\x9C, b\x78\xDA]: magic_score 10 elif decrypted[:2] b\x1F\x8B: magic_score 10 elif decrypted[:4] b\x04\x22\x4D\x18: magic_score 10 # 檢查可打印字符比例 printable sum(1 for b in decrypted[:100] if 32 b 127) printable_ratio printable / min(100, len(decrypted)) results.append({ key: key, magic_score: magic_score, printable_ratio: printable_ratio, decrypted: decrypted }) # 按magic_score和printable_ratio排序 results.sort(keylambda x: (x[magic_score], x[printable_ratio]), reverseTrue) return results # 候選密鑰單字節(jié)0x00-0xFF candidates list(range(256)) results try_xor_keys(result[data_section], candidates) for r in results[:5]: key_repr f0x{r[key]:02X} if isinstance(r[key], int) else r[key] print(fKey: {key_repr}, Magic score: {r[magic_score]}, Printable: {r[printable_ratio]:.2f}) print(f First 16 bytes: {r[decrypted][:16].hex()})如果單字節(jié)密鑰都不對試試多字節(jié)。多字節(jié)密鑰的候選可以來自文件里其他位置的字符串、程序二進制里的常量、常見弱密鑰如12345678、password。4.4 第三步校驗驗證與數(shù)據(jù)完整性確認XOR還原后用還原后的數(shù)據(jù)算校驗和文件頭里的checksum對比。import zlib def verify_checksum(data, expected_checksum, algorithmcrc32): if algorithm crc32: calculated zlib.crc32(data) 0xFFFFFFFF elif algorithm adler32: calculated zlib.adler32(data) 0xFFFFFFFF else: raise ValueError(fUnknown algorithm: {algorithm}) # 嘗試兩種字節(jié)序 expected_le expected_checksum expected_be struct.unpack(I, struct.pack(I, expected_checksum))[0] match_le (calculated expected_le) match_be (calculated expected_be) print(fCalculated: 0x{calculated:08X}) print(fExpected (LE): 0x{expected_le:08X}, match: {match_le}) print(fExpected (BE): 0x{expected_be:08X}, match: {match_be}) return match_le or match_be # 用XOR還原后的數(shù)據(jù)驗證 best_result results[0] decrypted_data best_result[decrypted] verify_checksum(decrypted_data, result[checksum], crc32)如果校驗通過說明XOR密鑰正確數(shù)據(jù)完整。如果不通過可能密鑰不對、校驗算法不對、校驗范圍不對可能只校驗數(shù)據(jù)區(qū)的一部分、或者校驗是在XOR之前算的那就用原始數(shù)據(jù)區(qū)算。實操心得校驗不通過時先別急著換密鑰。試試用原始數(shù)據(jù)未XOR算校驗如果通過了說明校驗是在XOR之前算的XOR層在校驗層之后。這個順序判斷能省很多時間。4.5 第四步解壓與原始數(shù)據(jù)導出校驗通過后解壓就是標準操作了。import zlib def decompress_data(data): # 先試zlib try: result zlib.decompress(data) print(fzlib解壓成功原始長度: {len(result)}) return result, zlib except zlib.error as e: print(fzlib失敗: {e}) # 試raw deflate try: result zlib.decompress(data, -15) print(fraw deflate解壓成功原始長度: {len(result)}) return result, deflate except zlib.error as e: print(fraw deflate失敗: {e}) # 試gzip import gzip try: result gzip.decompress(data) print(fgzip解壓成功原始長度: {len(result)}) return result, gzip except Exception as e: print(fgzip失敗: {e}) return None, None original_data, format_used decompress_data(decrypted_data) if original_data: with open(original_data.bin, wb) as f: f.write(original_data) print(f原始數(shù)據(jù)已導出格式: {format_used}) # 如果是文本打印前500字符 try: text original_data.decode(utf-8) print(前500字符:) print(text[:500]) except UnicodeDecodeError: print(二進制數(shù)據(jù)前64字節(jié):) print(original_data[:64].hex())4.6 第五步結(jié)果驗證與迭代導出原始數(shù)據(jù)后驗證是否合理如果是JSON/XML用解析器試解析。如果是結(jié)構(gòu)化二進制檢查字段是否符合預期。如果是圖片/音頻用對應查看器打開。如果還是亂碼可能還有一層沒剝比如原始數(shù)據(jù)本身也XOR了或者壓縮格式是自定義的。迭代方向換XOR密鑰如果校驗沒通過。換校驗算法CRC32換Adler32或換自定義多項式。換壓縮格式試lz4、zstd、bzip2。檢查是否有長度前綴或后綴需要去掉。檢查數(shù)據(jù)區(qū)是否被分成了多個塊每塊單獨處理。5. 常見問題與排查技巧實錄5.1 問題速查表現(xiàn)象可能原因排查方法找不到可讀字符串文件整體被XOR或壓縮用binwalk掃描試常見XOR密鑰字符串位置不連續(xù)結(jié)構(gòu)中有變長字段或?qū)R填充檢查字符串間的字節(jié)可能是長度或偏移XOR還原后無壓縮魔數(shù)XOR密鑰不對或壓縮格式無魔數(shù)試更多密鑰試raw deflate校驗總是不通過算法不對、字節(jié)序不對、范圍不對試CRC32/Adler32試大小端試部分范圍解壓報不完整數(shù)據(jù)被截斷或有多余字節(jié)用decompressobj檢查長度字段解壓后還是亂碼還有一層XOR或自定義編碼檢查解壓后數(shù)據(jù)的熵值和字符串多個數(shù)據(jù)塊長度不一致每塊獨立壓縮或XOR分別處理每塊檢查塊頭文件頭字段值明顯不合理字段偏移猜錯或類型不對手動在十六進制編輯器里核對5.2 獨家避坑技巧技巧一先靜態(tài)后動態(tài)別急著上調(diào)試器。很多人一上來就開調(diào)試器附加程序結(jié)果在幾千個函數(shù)里迷路。先用strings和十六進制編輯器做靜態(tài)分析把結(jié)構(gòu)猜個大概再用調(diào)試器驗證。靜態(tài)分析能告訴你是什么動態(tài)分析能告訴你怎么用。技巧二保存每一步的中間結(jié)果。XOR還原后的數(shù)據(jù)、解壓后的數(shù)據(jù)都存成單獨文件。這樣如果后面步驟出錯不用從頭再來。而且中間結(jié)果本身可能包含線索比如XOR還原后的數(shù)據(jù)里可能有新的字符串。技巧三注意字節(jié)對齊。很多格式的字段是4字節(jié)或8字節(jié)對齊的。如果你發(fā)現(xiàn)字段偏移總是差1-2字節(jié)可能是對齊填充。檢查字符串后面是否有00填充到4字節(jié)邊界。技巧四校驗值可能是對部分數(shù)據(jù)算的。有些格式只校驗數(shù)據(jù)區(qū)的前N字節(jié)或者跳過某些字段。如果全量校驗不通過試試排除文件頭、排除末尾的填充、或者只校驗數(shù)據(jù)區(qū)的前半部分。技巧五XOR密鑰可能是文件里某個字段的值。比如文件頭里有個seed字段XOR密鑰就是seed的某種變換取反、加1、循環(huán)移位。檢查文件頭里所有看起來像隨機數(shù)的字段它們可能是密鑰來源。技巧六壓縮數(shù)據(jù)可能有多層。有些格式先zlib壓縮再整體XORXOR還原后是zlib解壓后又是另一層zlib。用binwalk能自動識別嵌套或者手動解壓后檢查結(jié)果是否還有壓縮魔數(shù)。技巧七別忽略文件末尾。有些格式在文件末尾追加了額外數(shù)據(jù)比如簽名、填充、第二個數(shù)據(jù)塊。文件頭里的data_length可能只覆蓋第一個塊末尾還有東西。用十六進制編輯器跳到文件末尾看看。技巧八用已知樣本對比。如果你能生成一個已知內(nèi)容的存檔用原程序保存一個簡單配置然后和未知存檔對比差異部分就是數(shù)據(jù)區(qū)相同部分就是文件頭和固定結(jié)構(gòu)。這是最快的方法但前提是原程序還能用。5.3 一個完整的排查案例假設你拿到一個存檔strings輸出如下00000000 SAVE 00000010 v1.0 00000020 crc32 00000030 offset 00000040 size 00000050 ...亂碼開始十六進制查看0x50之后的數(shù)據(jù)發(fā)現(xiàn)熵值很高。文件頭里offset字段值是0x00000050size字段值是0x00001000。crc32字段值是0x12345678。第一步提取0x50到0x1050的數(shù)據(jù)區(qū)。第二步試單字節(jié)XOR。用0x00到0xFF逐個試檢查還原后是否有78 9C。假設試到0x5A時還原后開頭是78 9C。第三步用0x5A還原整個數(shù)據(jù)區(qū)算CRC32。假設算出來是0x87654321和文件頭里的0x12345678不等。試大端序還是不等。試Adler32不等。第四步懷疑校驗是在XOR之前算的。用原始數(shù)據(jù)區(qū)算CRC32得到0x12345678匹配說明校驗層在XOR層之前。第五步用0x5A還原數(shù)據(jù)區(qū)然后zlib解壓。解壓成功得到JSON文本。第六步驗證JSON格式正確字段符合預期。完成。這個案例的關鍵點是第四步——校驗順序的判斷。如果沒想到這一點可能會在密鑰上反復試浪費大量時間。6. 工具選型與自動化腳本6.1 工具對比與選擇建議工具適用場景優(yōu)點缺點010 Editor手動分析結(jié)構(gòu)模板功能強可視化好收費HxD快速查看免費輕量功能少ImHex開源分析模式語言靈活插件多學習曲線陡binwalk自動掃描識別嵌套格式快誤報多x64dbg動態(tài)調(diào)試能看程序?qū)嶋H行為需要程序可運行Python腳本批量處理靈活可自動化需要編程基礎我的建議手動分析用010 Editor或ImHex自動掃描用binwalk批量處理用Python。動態(tài)調(diào)試作為最后手段因為很多老程序已經(jīng)跑不起來了。6.2 自動化腳本框架把前面的步驟整合成一個腳本輸入文件路徑輸出原始數(shù)據(jù)。#!/usr/bin/env python3 存檔封裝拆解工具 自動嘗試XOR、校驗、壓縮的常見組合 import struct import zlib import gzip import sys import os class SaveFileUnpacker: def __init__(self, filepath): self.filepath filepath with open(filepath, rb) as f: self.raw f.read() self.header {} self.data_section None self.decrypted None self.original None def parse_header(self, magic_offset0, fieldsNone): 根據(jù)提供的字段定義解析文件頭 if fields is None: # 默認字段定義需根據(jù)實際調(diào)整 fields [ (magic, 0x00, 4, bytes), (version, 0x04, 4, uint32), (checksum, 0x08, 4, uint32), (data_offset, 0x0C, 4, uint32), (data_length, 0x10, 4, uint32), ] for name, offset, size, ftype in fields: raw self.raw[offset:offsetsize] if ftype bytes: value raw elif ftype uint32: value struct.unpack(I, raw)[0] elif ftype uint16: value struct.unpack(H, raw)[0] else: value raw self.header[name] value # 提取數(shù)據(jù)區(qū) offset self.header.get(data_offset, 0) length self.header.get(data_length, len(self.raw) - offset) self.data_section self.raw[offset:offsetlength] return self.header def try_xor(self, keysNone): 嘗試XOR密鑰 if keys is None: keys list(range(256)) best None best_score -1 for key in keys: if isinstance(key, int): decrypted bytes(b ^ key for b in self.data_section) else: decrypted bytes(self.data_section[i] ^ key[i % len(key)] for i in range(len(self.data_section))) score self._score_data(decrypted) if score best_score: best_score score best (key, decrypted) if best: self.decrypted best[1] return best[0], best_score return None, -1 def _score_data(self, data): 給數(shù)據(jù)打分壓縮魔數(shù)可打印字符比例 score 0 if len(data) 2: if data[:2] in [b\x78\x01, b\x78\x9C, b\x78\xDA]: score 100 elif data[:2] b\x1F\x8B: score 100 if len(data) 4: if data[:4] b\x04\x22\x4D\x18: score 100 elif data[:4] b\x28\xB5\x2F\xFD: score 100 # 可打印字符比例 sample data[:200] printable sum(1 for b in sample if 32 b 127) score (printable / len(sample)) * 50 return score def verify_checksum(self, data, expected, algorithmcrc32): 驗證校驗和 if algorithm crc32: calculated zlib.crc32(data) 0xFFFFFFFF elif algorithm adler32: calculated zlib.adler32(data) 0xFFFFFFFF else: return False # 嘗試兩種字節(jié)序 expected_le expected expected_be struct.unpack(I, struct.pack(I, expected))[0] return calculated expected_le or calculated expected_be def decompress(self, data): 嘗試多種解壓格式 # zlib try: return zlib.decompress(data), zlib except: pass # raw deflate try: return zlib.decompress(data, -15), deflate except: pass # gzip try: return gzip.decompress(data), gzip except: pass # lz4 try: import lz4.frame return lz4.frame.decompress(data), lz4 except: pass # zstd try: import zstandard as zstd dctx zstd.ZstdDecompressor() return dctx.decompress(data), zstd except: pass return None, None def run(self): 完整流程 print(f處理文件: {self.filepath}) print(f文件大小: {len(self.raw)} bytes) # 1. 解析文件頭 print(\n[1] 解析文件頭...) self.parse_header() for k, v in self.header.items(): if isinstance(v, bytes): print(f {k}: {v}) elif isinstance(v, int): print(f {k}: 0x{v:X} ({v})) # 2. 嘗試XOR print(\n[2] 嘗試XOR還原...) key, score self.try_xor() if key is not None: key_repr f0x{key:02X} if isinstance(key, int) else key print(f 最佳密鑰: {key_repr}, 得分: {score:.2f}) print(f 還原后前16字節(jié): {self.decrypted[:16].hex()}) else: print( 未找到合適的XOR密鑰) self.decrypted self.data_section # 3. 驗證校驗 print(\n[3] 驗證校驗和...) expected self.header.get(checksum, 0) for algo in [crc32, adler32]: for data_name, data in [(XOR后, self.decrypted), (原始, self.data_section)]: if self.verify_checksum(data, expected, algo): print(f 校驗通過: {algo} on {data_name}數(shù)據(jù)) break # 4. 解壓 print(\n[4] 嘗試解壓...) original, fmt self.decompress(self.decrypted) if original: self.original original print(f 解壓成功: {fmt}, 原始長度: {len(original)}) # 導出 output_path self.filepath .unpacked with open(output_path, wb) as f: f.write(original) print(f 已導出到: {output_path}) # 嘗試顯示文本 try: text original.decode(utf-8) print(f 前200字符:\n{text[:200]}) except: print(f 前32字節(jié): {original[:32].hex()}) else: print( 解壓失敗可能還有未識別的層) # 導出XOR還原后的數(shù)據(jù)供手動分析 output_path self.filepath .decrypted with open(output_path, wb) as f: f.write(self.decrypted) print(f 已導出XOR還原數(shù)據(jù)到: {output_path}) if __name__ __main__: if len(sys.argv) 2: print(用法: python unpacker.py savefile) sys.exit(1) unpacker SaveFileUnpacker(sys.argv[1]) unpacker.run()這個腳本是一個框架實際使用時需要根據(jù)具體格式調(diào)整parse_header里的字段定義。它的價值在于把試錯過程自動化了——自動試256個單字節(jié)XOR密鑰、自動試多種校驗算法、自動試多種解壓格式。你只需要提供文件頭結(jié)構(gòu)剩下的交給腳本。實操心得腳本跑完后如果解壓失敗別急著改腳本。先看導出的.decrypted文件用十六進制編輯器手動檢查。有時候腳本的評分函數(shù)沒選對最佳密鑰但手動看能發(fā)現(xiàn)線索。自動化是輔助最終判斷還是要靠人。7. 影響范圍與擴展思考這套拆解方法不只適用于存檔文件。任何二進制封裝的場景都能用網(wǎng)絡協(xié)議的數(shù)據(jù)包、嵌入式設備的固件、游戲資源包、數(shù)據(jù)庫的導出文件。核心思路是一樣的——找字符串引用、識別封裝層、逐層剝離。從影響范圍看掌握這套方法意味著你能處理一類問題而不是一個具體問題。今天拆的是存檔明天遇到一個未知格式的配置文件同樣的流程走一遍strings看線索、十六進制看結(jié)構(gòu)、試XOR、試校驗、試解壓。大部分格式都逃不出這幾層。擴展方向有幾個。一是自動化程度可以更高比如用符號執(zhí)行或模糊測試自動推斷字段邊界。二是支持更多壓縮格式比如brotli、lzo、snappy。三是結(jié)合動態(tài)分析如果程序能運行用調(diào)試器直接看它怎么讀文件比靜態(tài)猜快得多。四是處理加密而非XOR如果遇到AES或RSA就需要密鑰提取或側(cè)信道分析那是另一個領域了。我個人在實際操作中的體會是耐心比技術(shù)更重要。很多時候不是不會而是試了幾次沒成功就放棄了。XOR密鑰有256種可能校驗算法有幾十種壓縮格式有十幾種組合起來確實多。但通過字符串引用和結(jié)構(gòu)分析能把可能性縮小到幾個剩下的就是逐個驗證。每次成功拆開一個格式那種原來如此的感覺就是做這行的樂趣所在。最后分享一個小技巧建一個自己的格式庫。每次拆開一個新格式把文件頭結(jié)構(gòu)、XOR密鑰規(guī)律、校驗算法、壓縮格式記下來。下次遇到類似的直接查庫能省大量時間。我自己的庫里已經(jīng)存了幾十種格式很多是同一個軟件的不同版本結(jié)構(gòu)大同小異。這個習慣讓我處理新格式的速度越來越快。