完全未知的文件分析方法

逆向工程 二元分析 加密 解密 编码
2021-07-08 03:49:49

我想这是最坏的情况。我有一个最初是 base64 编码的文件。这一步很容易。但现在我能看到的只是一堆垃圾。没有结构,几乎是最大的熵,没有周期什么都没有。我没有更多信息,除了:

  • 5120 KB的大小
  • 这里面有不止一个文件
  • 它们都是相同的类型
  • 使用的加密或压缩或使用的任何算法是某种“标准”算法

我测试了很多东西......你们中有人知道如何前进吗?我的想法不多了。

编辑:现在已删除的直方图不正确。无论如何,我不知道如何继续下去。尝试使用 truecrypt 打开它以确保它不是容器不起作用。关于如何在其中查找文件,您还有其他提示吗?

3个回答

您可以尝试使用binwalk它可以以多种方式使用:

  • 嵌入式文件识别提取
  • 可执行代码识别
  • 熵分析和绘图(用于压缩和加密识别)
  • “智能”字符串分析

您也可以尝试使用7zip打开您的文件,因为它支持大量压缩格式。

我将在 base64 解码后检查文件的第一个字节。这些将表明文件格式是什么。

  • MZ(5A4D) - 意味着这是一个可执行文件,您可以开始在保存(虚拟)环境中执行它,并打开 SysInternals 实用程序 - ProcMon 和 Process explorer。另外,计算它的MD5值并在Net,VirusTotal中查找。如果您有倒车/低技术技能,我还建议您下载 IDA 5.0 的免费副本并尝试在那里检查。
  • 其他文件格式,然后尝试在网络中以十六进制格式查找它的第一个字节。好地方之一是文件签名表
  • 尝试在十六进制编辑器中加载解码后的文件并检查是否有任何字符串,这些字符串可能看起来很熟悉或具有某种含义。

您可以尝试一下动态二进制可视化。Christopher Domas 在 REcon 和 BlackHat 2013 上进行了出色的演示。可以在此处获得 REcon 的套牌

我相信该工具现在处于测试阶段,因此您可以尝试一下。