ZIP伪加密分析与识别

发布于 2020-09-30  656 次阅读


原理

Zip压缩包一般由如下部分组成:

  1. 压缩源文件数据区
  2. 压缩源文件目录区
  3. 压缩源文件目录结束标志

演示

从下面的案例可以清晰的理解

压缩源文件数据区: 
50 4B 03 04:这是头文件标记(0x04034b50) 
14 00:解压文件所需 pkware 版本 
00 00:全局方式位标记(有无加密) 头文件标记后2bytes
08 00:压缩方式 
5A 7E:最后修改文件时间 
F7 46:最后修改文件日期 
16 B5 80 14:CRC-32校验(1480B516) 
19 00 00 00:压缩后尺寸(25) 
17 00 00 00:未压缩尺寸(23) 
07 00:文件名长度 
00 00:扩展记录长度 
6B65792E7478740BCECC750E71ABCE48CDC9C95728CECC2DC849AD284DAD0500 
压缩源文件目录区: 

50 4B 01 02:目录中文件文件头标记(0x02014b50) 

3F 00:压缩使用的 pkware 版本

14 00:解压文件所需 pkware 版本 
00 00:全局方式位标记(有无加密,伪加密的关键) 目录文件标记后4bytes
08 00:压缩方式 
5A 7E:最后修改文件时间 
F7 46:最后修改文件日期 
16 B5 80 14:CRC-32校验(1480B516) 
19 00 00 00:压缩后尺寸(25) 
17 00 00 00:未压缩尺寸(23) 
07 00:文件名长度 
24 00:扩展字段长度 
00 00:文件注释长度 
00 00:磁盘开始号 
00 00:内部文件属性 
20 00 00 00:外部文件属性 

00 00 00 00:局部头部偏移量

6B65792E7478740A00200000000000010018006558F04A1CC5D001BDEBDD3B1CC5D001BDEBDD3B1CC5D001 
压缩源文件目录结束标志: 
50 4B 05 06:目录结束标记 
00 00:当前磁盘编号 
00 00:目录区开始磁盘编号 
01 00:本磁盘上纪录总数 
01 00:目录区中纪录总数 
59 00 00 00:目录区尺寸大小 

3E 00 00 00:目录区对第一张磁盘的偏移量

00 00:ZIP 文件注释长度

加密方式识别

  zip伪加密原理:在文件头的加密标志位做修改,进而再打开文件时识被别为加密压缩包。那么到底怎么识别呢

无加密

压缩源文件数据区的全局加密应当为00 00  (504B0304两个bytes之后)
且压缩源文件目录区的全局方式位标记应当为00 00(504B0102四个bytes之后)

假加密

压缩源文件数据区的全局加密应当为00 00 
且压缩源文件目录区的全局方式位标记应当为09 00

真加密

压缩源文件数据区的全局加密应当为09 00 
且压缩源文件目录区的全局方式位标记应当为09 00 

实际案例演练

未加密

随便新建一个压缩包,用01editor(其它软件也行)打开

先看第一个要求:压缩源文件数据区的全局加密应当为00 00 

快速找到对应区域

再看第二个要求:压缩源文件目录区的全局方式位标记应当为00 00

这就很明显了,是一个未加密的,其他就不演试了,就按这个方法来

最后附上一个python读取zip的代码

f = open('havekey.zip','rb')
i = 0
while True:
    a = f.read(1)
    if not a:
        break
    if i == 16:
        print()
        i = 0
    if i < 15:
        print(("%02x" % (ord(a))+'').upper(),end=' ')
    else:
        print(("%02x" % (ord(a))+'').upper(),end='')
    i += 1
f.close()

result:

50 4B 03 04 14 00 09 00 08 00 95 58 2D 4D E9 9C
17 E9 46 00 00 00 70 00 00 00 03 00 1C 00 6B 65
79 55 54 09 00 03 4A 44 9A 5B 4A 44 9A 5B 75 78
0B 00 01 04 00 00 00 00 04 00 00 00 00 CB CD AF
CA 78 DA B7 FB 59 5F E7 93 1D 6B 9F 4D 6B 37 7C
DA BF 3D 35 CD C0 C4 CC 20 C9 3C 05 59 C2 08 28
61 61 60 94 68 98 9C 8A 2C 6C 0C 14 36 4C 31 35
35 36 40 16 35 01 8A 1A 1B 5A 5A A6 9A 21 8B 9A
02 45 01 50 4B 01 02 1E 03 14 00 09 00 08 00 95
58 2D 4D E9 9C 17 E9 46 00 00 00 70 00 00 00 03
00 18 00 00 00 00 00 01 00 00 00 A4 81 00 00 00
00 6B 65 79 55 54 05 00 03 4A 44 9A 5B 75 78 0B
00 01 04 00 00 00 00 04 00 00 00 00 50 4B 05 06
00 00 00 00 01 00 01 00 49 00 00 00 83 00 00 00
00 00

一个热爱技术的白帽子