[CTF]Zip文件的虚假加密分析与应对策略

--------------------- 
作者&＃xff1a;WUST_啊哦 
来源&＃xff1a;CSDN 
原文&＃xff1a;https://blog.csdn.net/ETF6996/article/details/51946250 

原理

zip伪加密是在文件头的加密标志位做修改&＃xff0c;进而再打开文件时识被别为加密压缩包。

背景

首先&＃xff0c;我们来看zip文件头协议。这里以中文资料为证&＃xff0c;但是仍然建议大家去http://www.pkware.com 阅读官方文档&＃xff0c;虽然英文读起来有些困难。

一个 ZIP 文件由三个部分组成&＃xff1a;

压缩源文件数据区&＃43;压缩源文件目录区&＃43;压缩源文件目录结束标志 
查看详情

实例

下面给出西普的一个实例&＃xff1a; 

压缩源文件数据区&＃xff1a; 
50 4B 03 04&＃xff1a;这是头文件标记&＃xff08;0x04034b50&＃xff09; 
14 00&＃xff1a;解压文件所需 pkware 版本 
00 00&＃xff1a;全局方式位标记&＃xff08;有无加密&＃xff09; 
08 00&＃xff1a;压缩方式 
5A 7E&＃xff1a;最后修改文件时间 
F7 46&＃xff1a;最后修改文件日期 
16 B5 80 14&＃xff1a;CRC-32校验&＃xff08;1480B516&＃xff09; 
19 00 00 00&＃xff1a;压缩后尺寸&＃xff08;25&＃xff09; 
17 00 00 00&＃xff1a;未压缩尺寸&＃xff08;23&＃xff09; 
07 00&＃xff1a;文件名长度 
00 00&＃xff1a;扩展记录长度 
6B65792E7478740BCECC750E71ABCE48CDC9C95728CECC2DC849AD284DAD0500 
压缩源文件目录区&＃xff1a; 
50 4B 01 02&＃xff1a;目录中文件文件头标记(0x02014b50) 
3F 00&＃xff1a;压缩使用的 pkware 版本 
14 00&＃xff1a;解压文件所需 pkware 版本 
00 00&＃xff1a;全局方式位标记&＃xff08;有无加密&＃xff0c;这个更改这里进行伪加密&＃xff0c;改为09 00打开就会提示有密码了&＃xff09; 
08 00&＃xff1a;压缩方式 
5A 7E&＃xff1a;最后修改文件时间 
F7 46&＃xff1a;最后修改文件日期 
16 B5 80 14&＃xff1a;CRC-32校验&＃xff08;1480B516&＃xff09; 
19 00 00 00&＃xff1a;压缩后尺寸&＃xff08;25&＃xff09; 
17 00 00 00&＃xff1a;未压缩尺寸&＃xff08;23&＃xff09; 
07 00&＃xff1a;文件名长度 
24 00&＃xff1a;扩展字段长度 
00 00&＃xff1a;文件注释长度 
00 00&＃xff1a;磁盘开始号 
00 00&＃xff1a;内部文件属性 
20 00 00 00&＃xff1a;外部文件属性 
00 00 00 00&＃xff1a;局部头部偏移量 
6B65792E7478740A00200000000000010018006558F04A1CC5D001BDEBDD3B1CC5D001BDEBDD3B1CC5D001 
压缩源文件目录结束标志&＃xff1a; 
50 4B 05 06&＃xff1a;目录结束标记 
00 00&＃xff1a;当前磁盘编号 
00 00&＃xff1a;目录区开始磁盘编号 
01 00&＃xff1a;本磁盘上纪录总数 
01 00&＃xff1a;目录区中纪录总数 
59 00 00 00&＃xff1a;目录区尺寸大小 
3E 00 00 00&＃xff1a;目录区对第一张磁盘的偏移量 
00 00&＃xff1a;ZIP 文件注释长度
 

猜想

所以如果把一个zip文件的文件头或者加密标志位进行适当修改&＃xff0c;那就可能会改变文件的可读性了呗&＃xff01;

测试&＃xff08;一&＃xff09;

亲测例子&＃xff1a;先压缩一个1.zip&＃xff0c;再用Winhex打开&＃xff0c;如下图&＃xff1a;

压缩源文件数据区&＃xff1a; 
50 4B 03 04&＃xff1a;这是头文件标记 
14 00&＃xff1a;解压文件所需 pkware 版本 
00 00&＃xff1a;全局方式位标记&＃xff08;有无加密&＃xff09; 
08 00&＃xff1a;压缩方式 
07 76&＃xff1a;最后修改文件时间 
F2 48&＃xff1a;最后修改文件日期 
…… 
压缩源文件目录区&＃xff1a; 
50 4B 01 02&＃xff1a;目录中文件文件头标记(0x02014b50) 
1F 00&＃xff1a;压缩使用的 pkware 版本 
14 00&＃xff1a;解压文件所需 pkware 版本 
00 00&＃xff1a;全局方式位标记&＃xff08;有无加密&＃xff0c;这个更改这里进行伪加密&＃xff0c;改为09 00打开就会提示有密码了&＃xff09; 
08 00&＃xff1a;压缩方式 
07 76&＃xff1a;最后修改文件时间 
F2 48&＃xff1a;最后修改文件日期 
……

综上所述&＃xff0c;如果把第二个加密标记位的00 00改为09 00&＃xff0c;打开就会提示有密码&＃xff1a; 
 

于是乎&＃xff0c;这样就达到了zip伪加密的目的&＃xff0c;可是这里又有一个疑问了&＃xff0c;你可能会问&＃xff0c;为什么改成09&＃xff0c;而不是其他的数字呢&＃xff0c;其实改成09只是举的一个例子&＃xff0c;只要末位是奇数&＃xff0c;就代表加密&＃xff0c;反之&＃xff0c;末位是偶数代表未加密&＃xff08;这是我猜想的&＃xff0c;具体操作也符合我的猜想&＃xff0c;可我不知道这个原理是什么&＃xff0c;如果你了解的话&＃xff0c;欢迎来分享分享~^_^&＃xff09;

测试&＃xff08;二&＃xff09;

猜想&＃xff1a;

既然加密标志位可以修改&＃xff0c;那头文件标记位应该也能修改吧&＃xff0c;试试咯~&＃xff1a;

把文本区原来显示的PK位的50 4B改成其他数据&＃xff0c;再打开zip文件&＃xff1a;

显然&＃xff0c;这样也使zip文件不可读&＃xff01;