winhex先Add再XOR后的数据恢复

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了winhex先Add再XOR后的数据恢复相关的知识,希望对你有一定的参考价值。

AddXOR的恢复

 

近来经常有网友QQ问我,用winhex修改数据,先Add运算,再XOR运算,这样修改后(加密)的数据如何恢复(还原)?

 

这个好像是中职(或高职)学生在参加全国数据恢复比赛时的题目。我试着做了一下,下面是过程:

 

首先创建了一个名为“实验doc文档”,如下图:

 

 技术分享图片                                             

 

winhex打开这个文件,选定所有字节,作如下运算:

 

    Add 23H ,再XOR 32H(这两个数值是随意选择的)。如下图:

 

技术分享图片

 

这样运算之后的数据如下图:

 

技术分享图片

 

数据已经被加密了。

 

下面开始恢复数据:

 

思路:首先把复合文档的文件头0x D0CF11E0A1B11AE1作为关键字,而加密后关键字偏移位置的值为0x C1C00631F6E60F36

 

已知关键字的当前值是由关键字先Add某个数值再XOR某个数值得到的,理论上反向操作(先XORAdd)的话,由于按字节运算了两次(AddXOR),而一个字节最大可以表示256个数值(00 HFF H),那么使用穷举法,最多需要计算256的平方 =  65536 次就可以了。

 

如果通过反向运算后,得到了文件头0x D0CF11E0A1B11AE1,那么就可以得到这两个运算(AddXOR)的数值。

 

可能有人会问,Add运算的结果,要用减法来还原才行啊。其实减去一个数就等于加一个负数,这样就好理解了。呵呵。

 

很明显,这个数量级的计算用手工就太慢了,所以需要编写winhex脚本或小程序来完成计算。如下图:

 

技术分享图片

 

用程序计算效率就高多了,很快结果就出来了。从图中可以看到,通过反向计算,一共找到了两组数值:1.  32 H DD H 2.  B2 H 5D H

 

通过验证,这两组数值都可以恢复原数据。那么为什么有两组呢?大家可以思考思考,在这儿就不详细讲了。

 

技术分享图片

 

技术分享图片

 

 

好了,以上就是我的恢复思路和方法。再见!


 

                                                                                                                                             2018 . 2 . 22

 

以上是关于winhex先Add再XOR后的数据恢复的主要内容,如果未能解决你的问题,请参考以下文章

LR使用web_add_cookie函数进行cookie模拟

winhex脚本命令教程

LeetCode 第 67 题 (Add Binary)

实验吧之deeeeeeaaaaaadbeeeeeeeeeef-200

ctf图片隐写,winhex

winhex 中磁盘大小与偏移