危险漫步博客
新鲜的“黑客思维”就是从全新的角度看待黑客技术,从更高的层面去思考;专注于黑客精神及技术交流分享的独立博客。
文章2306 浏览20582076

解密某文件加密工具的“小把戏”

周末闲来无事,于是整理了一下上个月的资料,结果发现一个“流光剑加密”的文件加密小软件,我个人对带“密”字的东东比较“来电”,于是想看看它是怎么鼓捣出来的。

一、寻找密码

程序提供了两种加密方式,一种是普通的加密,另一种是“高级”加密,运行程序,而且只能加密文件夹。

用Peid查壳,是upx的壳。

upx壳是款众所周知的压缩壳,至于导入表INT是不加密的,直接载入LordPe着其INT。里面有一个Advap132.dll,调用了该库中大量的注册表操作函数,看来有密码有可能和注册表有关系。

设置密码为iwillfucku,然后在“开始”——“运行”中输入regedit打开“注册表编辑器”,CTRL+F搜索“iwillfucku”字符串。

竟然真的能找到,返回程序以证明该sfolder键的确是有该程序所创建,用IDA载入程序,按shift+F12打开字符串窗口(因为个人用的是IDA比较新的版本默认不会打开string窗口),直接在string窗口中,按“sfolder”,定位到字符串,看来程序的密码的确就是保存这里,有了密码,“解密”就是“张飞吃豆芽了”。

二、程序的“加密把戏”

程序的加密方式更是有点“变戏法”的味道,先看第一种普通加密方式,建立一个test文件夹,用程序进行加密,加密后注意文件夹的变化。

文件夹的后面有一个“.”,这不就是使用的畸形目录嘛。

畸形目录是Windows目录的一种缺陷,因为在Windows中“\”符号是路径的分隔符,比如“C:\Windows\”的意思是指C分区中的Windows文件夹,而“C:\Windows\System.exe”的意思是C分区中的Windows文件夹中的System.exe文件。那么如果文件名中有“\”符号会怎么样呢?假如“S\”是一个文件夹的名字,这个文件夹位于“F:\”,它的路径就是“F:\S\”,当我们试图访问时,Windows会错误的认为我们要打开的文件是F分区下的名为“S”的文件夹,而非“S\”文件夹,这样Windows就无法准确打开该文件夹,并且会返回一个错误信息,因为以上路径并不存在。

知道了原理,那么就在Windows XP下简单的创建“S\”文件夹吧。咦?怎么系统会提示“文件名不能包含\符号”,微软早就想到了这点,但是我们却可以通过CMD里的mkdir命令建立这样的文件夹,比如输入mkdir hacker..\,这样就能建立一个hacker.的目录,一个命令的操作竟然弄个程序来忽悠人,这个软件的作者估计比我还闲。

“解密”的方法就简单 了,在“开始”——“运行”,直接输入加密文件路径“F:\逆向大本营\程序实践\sec\test..\”(本机上的方件夹路径),所有的“加密”文件都能查看了。

接下来再看它的“高级加密”方式,勾选程序窗口中的“使用高级加密模式”,再次加密原来的test文件夹,加密后文件夹。

双击加密后的文件夹竟然打开“我的电脑”,运行命令提示符,竟然能进入加密方件夹的目录,执行dir/a,发现一个desktop.ini文件,查看其内容。  

只有一个CLSID,CLSID是系统中标识相应对象的一个ID值,双击加密文件夹后打开的是“我的电脑”,打开注册表编辑器(运行中执行regedit.exe),CTRL+F搜索“我的电脑”,对比两个CLSID,竟然是一样的,看来程序所谓的“高级加密模式”是在desktop.ini文件上做手脚。 

“解密”的方法就更简单了,直接删除目录下的desktop.ini文件,目录被“解密”出来了。这个程序所谓的“加密”虽然简单,但却是Windows上常用的隐藏文件的技巧,每次隐藏文件如果都手工操作着实比较费力,用这个工具使用上面介绍的两种隐藏方法还是挺“快捷”的。

相关推荐