1. 项目概述为什么今天还要聊DES如果你刚接触密码学或者正在学习逆向工程那么“DES”这个名字你肯定绕不过去。它就像一个活化石虽然现在看起来有点“老”但它的设计思想、实现细节乃至它被攻破的历史都是理解现代密码学和逆向分析绕不开的基石。我当年啃这块硬骨头的时候也走了不少弯路总觉得它复杂又过时。但后来在分析一些遗留系统、嵌入式设备固件甚至是某些CTFCapture The Flag逆向挑战时无数次与DES加密的数据“狭路相逢”。那时才明白掌握DES不仅仅是学一个算法更是掌握了一套分析对称加密的通用方法论。简单说DESData Encryption Standard数据加密标准是一种分组对称加密算法。这几个词拆开看“分组”意味着它一次处理固定长度64位的数据块“对称”指加密和解密用的是同一把密钥。它的核心历史地位在于它是第一个被公开、被广泛标准化并大规模商用的加密算法深刻影响了后续AES等算法的设计。今天虽然DES因其56位的短密钥已不再安全但它的变体如3DES以及其精巧的Feistel网络结构依然在许多场景下发挥着余热。对于开发者理解其实现能加深对密码学原理的认识对于安全研究者掌握其逆向则是破解许多“历史遗留”系统的必备技能。2. 核心原理与结构拆解DES的“心脏”如何跳动要搞懂DES不能只停留在调用一个库函数。你得把它拆开看看里面的齿轮是怎么咬合的。DES的整体流程是一个典型的Feistel网络结构这个结构非常巧妙它保证了加密和解密过程可以使用几乎相同的逻辑只是子密钥的使用顺序相反这大大简化了硬件和软件的实现。2.1 核心流程从64位明文到64位密文DES加密一个64位的明文块大致经历以下过程初始置换IP对输入的64位明文进行一个固定的位置重排。这一步没有密码学意义据说只是为了适应上世纪70年代硬件处理的便利。16轮Feistel迭代这是DES的“主循环”也是其安全性的核心。每一轮的操作都类似包括将64位数据分成左右两半L, R各32位。轮函数 F对右半部分R进行处理。这是最复杂的一步我们稍后详述。异或XOR与交换将轮函数F的输出与左半部分L进行异或结果作为下一轮的新的右半部分R’而当前的右半部分R则直接成为下一轮的左半部分L’。公式为L RR L XOR F(R, K)其中K是该轮的轮密钥。末置换IP⁻¹经过16轮迭代后再进行一次与初始置换互逆的置换得到最终的64位密文。解密过程与加密完全对称唯一区别是16轮子密钥的使用顺序是倒序的K16, K15, ..., K1。这就是Feistel结构的优雅之处。2.2 灵魂部件轮函数F与子密钥生成轮函数F是DES安全性的关键。它接收32位的右半部分R和48位的轮密钥K输出一个32位的结果。其内部又分为四步扩展置换E将32位的R扩展为48位。具体做法是重复某些位目的是为了与48位的子密钥进行异或同时让输出的一位能影响下一轮多个S盒的输入实现“雪崩效应”。与子密钥异或XOR将扩展后的48位数据与48位的轮密钥进行按位异或。S盒替换Substitution这是DES中唯一的非线性变换是算法的核心保密部分。将异或后的48位数据分成8组每组6位分别送入8个不同的S盒S-box。每个S盒是一个固定的4行16列的查找表它接收6位输入通过查表输出4位。这一步是混淆Confusion的主要来源将密钥与明文的关系变得极其复杂。P盒置换Permutation将8个S盒输出的32位结果进行一次固定的位置重排。这一步是扩散Diffusion的主要来源让S盒中某一位的变化能快速影响到下一轮多个S盒的输入。子密钥生成过程同样重要。它从用户输入的64位密钥实际有效位56位另有8位奇偶校验位开始经过置换选择、循环左移、压缩置换等步骤为每一轮生成一个48位的子密钥。每一轮循环左移的位数是固定的第1、2、9、16轮左移1位其余左移2位。理解这个过程对于后续的逆向分析如已知部分轮密钥推导主密钥至关重要。注意很多初学者会混淆“密钥”和“子密钥”。用户提供的是主密钥而每一轮运算使用的是由主密钥派生出的子密钥。在逆向时我们有时瞄准的是还原子密钥进而推导主密钥。3. 从零实现用C语言手搓一个DES/ECB/NoPadding理论说再多不如动手写一遍。这里我用最经典的C语言来实现一个DES/ECB/NoPadding版本。选择ECB电子密码本模式是因为它最简单每个分组独立加密选择NoPadding是因为我们假设输入数据恰好是64位的倍数。在实际工程中ECB模式是不安全的因为相同的明文块会产生相同的密文块会暴露模式但用于学习算法原理最为合适。3.1 数据结构与表定义首先我们需要定义DES算法中所有那些固定的置换表、扩展表、S盒和P盒。这些表是标准化的可以直接从FIPS PUB 46-3文档中复制。// 示例定义初始置换IP表64位输入 - 64位输出但实际是重排 const int IP_Table[64] {58, 50, 42, 34, 26, 18, 10, 2, 60, 52, 44, 36, 28, 20, 12, 4, ... // 此处省略完整表格 57, 49, 41, 33, 25, 17, 9, 1}; // 定义扩展置换E表32位 - 48位 const int E_Table[48] {32, 1, 2, 3, 4, 5, 4, 5, 6, 7, 8, 9, ... // 此处省略完整表格 28, 29, 30, 31, 32, 1}; // 定义8个S盒每个S盒是4x16的矩阵 const int S_Box[8][4][16] { // S1 {{14, 4, 13, 1, 2, 15, 11, 8, 3, 10, 6, 12, 5, 9, 0, 7}, {0, 15, 7, 4, 14, 2, 13, 1, 10, 6, 12, 11, 9, 5, 3, 8}, {4, 1, 14, 8, 13, 6, 2, 11, 15, 12, 9, 7, 3, 10, 5, 0}, {15, 12, 8, 2, 4, 9, 1, 7, 5, 11, 3, 14, 10, 0, 6, 13}}, // ... S2 到 S8 类似定义 }; // 定义P盒置换表 const int P_Table[32] {16, 7, 20, 21, 29, 12, 28, 17, ... // 此处省略完整表格 25};此外还需要定义子密钥生成相关的置换表PC-1、PC-2和循环左移表。3.2 核心函数实现接下来是实现几个核心函数置换函数、循环左移、S盒查询、轮函数F、子密钥生成以及主加密流程。// 通用的置换函数 void permute(const int *table, int in_len, int out_len, const unsigned char *input, unsigned char *output) { for (int i 0; i out_len; i) { int pos table[i] - 1; // 表内数字是从1开始计数的 int byte_index pos / 8; int bit_index 7 - (pos % 8); // 假设高位在前 int bit_val (input[byte_index] bit_index) 0x01; output[i / 8] | (bit_val (7 - (i % 8))); } } // 生成16轮子密钥 void generate_subkeys(const unsigned char *key, unsigned char subkeys[16][6]) { unsigned char pc1_out[7] {0}; // 56位7字节 permute(PC1_Table, 64, 56, key, pc1_out); // 将56位分成左右各28位 unsigned int C (pc1_out[0] 20) | (pc1_out[1] 12) | (pc1_out[2] 4) | (pc1_out[3] 4); unsigned int D ((pc1_out[3] 0x0F) 24) | (pc1_out[4] 16) | (pc1_out[5] 8) | pc1_out[6]; const int shift_table[16] {1,1,2,2,2,2,2,2,1,2,2,2,2,2,2,1}; for (int i 0; i 16; i) { // 循环左移 C ((C shift_table[i]) | (C (28 - shift_table[i]))) 0x0FFFFFFF; D ((D shift_table[i]) | (D (28 - shift_table[i]))) 0x0FFFFFFF; // 合并并压缩置换为48位子密钥 unsigned char combined[7]; combined[0] (C 20) 0xFF; combined[1] (C 12) 0xFF; combined[2] (C 4) 0xFF; combined[3] ((C 0x0F) 4) | ((D 24) 0x0F); combined[4] (D 16) 0xFF; combined[5] (D 8) 0xFF; combined[6] D 0xFF; permute(PC2_Table, 56, 48, combined, subkeys[i]); // subkeys[i] 是6字节数组 } } // 轮函数 F void f_function(const unsigned char *r, const unsigned char *subkey, unsigned char *output) { unsigned char expanded[6] {0}; permute(E_Table, 32, 48, r, expanded); // 扩展 for (int i 0; i 6; i) { expanded[i] ^ subkey[i]; // 与子密钥异或 } // S盒替换 unsigned int s_output 0; for (int i 0; i 8; i) { int row ((expanded[i*6/8] (7 - ((i*6)%8))) 0x01) 1) | ((expanded[(i*65)/8] (7 - ((i*65)%8))) 0x01); int col (expanded[(i*61)/8] (7 - ((i*61)%8))) 0x0F; // 需要仔细处理位提取 int val S_Box[i][row][col]; s_output (s_output 4) | val; } // P盒置换 // 需要先将s_output这个32位整数转换为4字节数组再进行置换 unsigned char s_bytes[4]; s_bytes[0] (s_output 24) 0xFF; s_bytes[1] (s_output 16) 0xFF; s_bytes[2] (s_output 8) 0xFF; s_bytes[3] s_output 0xFF; permute(P_Table, 32, 32, s_bytes, output); } // DES单块加密 void des_encrypt_block(const unsigned char *plaintext, const unsigned char *key, unsigned char *ciphertext) { unsigned char subkeys[16][6] {0}; generate_subkeys(key, subkeys); unsigned char ip_out[8] {0}; permute(IP_Table, 64, 64, plaintext, ip_out); unsigned char l[4], r[4], temp[4]; memcpy(l, ip_out, 4); memcpy(r, ip_out 4, 4); for (int i 0; i 16; i) { memcpy(temp, r, 4); // 保存当前的R unsigned char f_out[4] {0}; f_function(r, subkeys[i], f_out); // 计算F(R, K) // L XOR F(R, K) for (int j 0; j 4; j) { r[j] l[j] ^ f_out[j]; } memcpy(l, temp, 4); // 新的L是旧的R } // 最后一轮后不交换直接合并 RL unsigned char rl[8]; memcpy(rl, r, 4); memcpy(rl 4, l, 4); permute(IP_Inverse_Table, 64, 64, rl, ciphertext); } // DES单块解密仅子密钥顺序相反 void des_decrypt_block(const unsigned char *ciphertext, const unsigned char *key, unsigned char *plaintext) { unsigned char subkeys[16][6] {0}; generate_subkeys(key, subkeys); // 先生成 unsigned char ip_out[8] {0}; permute(IP_Table, 64, 64, ciphertext, ip_out); unsigned char l[4], r[4], temp[4]; memcpy(l, ip_out, 4); memcpy(r, ip_out 4, 4); for (int i 15; i 0; i--) { // 逆序使用子密钥 memcpy(temp, r, 4); unsigned char f_out[4] {0}; f_function(r, subkeys[i], f_out); for (int j 0; j 4; j) { r[j] l[j] ^ f_out[j]; } memcpy(l, temp, 4); } unsigned char rl[8]; memcpy(rl, r, 4); memcpy(rl 4, l, 4); permute(IP_Inverse_Table, 64, 64, rl, plaintext); }3.3 ECB模式封装对于任意长度的数据假设已是8字节的倍数我们只需循环调用单块加密/解密函数。void des_ecb_encrypt(const unsigned char *plain, int plain_len, const unsigned char *key, unsigned char *cipher) { for (int i 0; i plain_len; i 8) { des_encrypt_block(plain i, key, cipher i); } } void des_ecb_decrypt(const unsigned char *cipher, int cipher_len, const unsigned char *key, unsigned char *plain) { for (int i 0; i cipher_len; i 8) { des_decrypt_block(cipher i, key, plain i); } }实操心得在实现位操作时如permute函数最容易出错的就是位的顺序大端序/小端序和索引的计算。建议在关键步骤后添加调试打印将中间结果以十六进制形式输出与标准测试向量如NIST提供的已知答案测试进行比对。一个常见的坑是S盒的输入位提取一定要严格按照标准6位输入中的第1和第6位组成行号中间4位组成列号。4. 逆向实操当我们在逆向DES时我们在逆向什么现在进入更刺激的部分——逆向。我们面对的可能是一个使用了DES加密的二进制程序比如一个注册机验证、一段通信协议或者一个固件。目标通常是在不直接知道密钥的情况下恢复明文、密钥或者绕过加密验证。逆向DES通常不是去逆向算法本身因为算法是公开的而是逆向密钥的存储、传递和使用方式。4.1 静态分析定位加密逻辑与密钥首先我们需要在反汇编代码IDA Pro, Ghidra或反编译代码Ghidra, Binary Ninja中定位DES相关的代码。特征识别常量表这是最明显的特征。在代码的只读数据段.rodata, .rdata中寻找大块的、看起来随机的常量数组。DES的IP表、E表、S盒、P盒等都是固定的。如果你在二进制文件中发现一组64个字节的置换表紧接着一组48个字节的扩展表以及8个4x16的S盒那么几乎可以确定是DES或类似Feistel算法。函数结构寻找一个循环16次的循环结构内部包含查表S盒、位运算异或、移位和置换操作。子密钥生成部分也会有类似的循环左移和置换操作。API调用在高级语言或使用密码库的程序中可能会调用如DES_encrypt1,DES_set_key_uncheckedOpenSSL或CryptEncryptWindows CryptoAPI等函数。这些函数名在字符串表中可能能找到。密钥追踪硬编码密钥最简单的情况密钥以常量形式存储在二进制中。在数据段搜索连续的8字节或16字节3DES的可打印或不可打印字符。动态生成密钥密钥可能由用户名、机器码、时间戳等计算而来Key Derivation Function。需要分析生成密钥的算法这可能涉及哈希、拼接、简单变换等。网络传输或文件读取密钥可能从配置文件、注册表、网络服务器获取。需要跟踪相关文件I/O或网络接收函数。4.2 动态调试内存截获与流程劫持当静态分析难以理清逻辑时动态调试x64dbg, OllyDbg, GDB是利器。下断点在加密函数入口下断如果识别出了DES加密函数直接在其入口下断点。当程序执行到加密验证时如输入注册码后点击“验证”程序会中断。在标准库函数下断如果程序使用系统或第三方库可以在memcmp比较密文、printf打印错误/成功信息或消息框函数上下断然后回溯调用栈找到加密逻辑。内存取证抓取明文/密文在加密函数执行前查看传入的缓冲区里面很可能就是待加密的明文如你输入的假注册码、某个固定字符串。在加密函数执行后查看输出缓冲区得到密文。抓取密钥这是终极目标。在子密钥生成函数或加密函数内部找到存储轮密钥或主密钥的缓冲区。在调试器中监视该内存区域你可能会看到48位的轮密钥或64位的主密钥。对于3DES可能是两个或三个密钥。流程劫持与Patch跳过验证最简单的“破解”方式是找到验证结果跳转的指令通常是jnz或je将其修改为相反逻辑或无条件跳转jmp从而无论加密结果如何都走向成功分支。NOP掉加密调用如果程序只是对某个字符串加密后比较可以直接将加密函数调用指令替换为NOP然后让程序直接使用你预设的“正确”密文。4.3 已知明文攻击与侧信道思维在某些CTF或特定场景下你可能拥有“已知明文-密文对”。即你知道程序加密了某个特定的数据比如字符串admin并且通过动态调试或协议分析拿到了对应的密文。这时你可以暴力破解DES密钥只有56位有效位理论上2^56种可能。在当今算力下通过FPGA或GPU集群进行暴力破解在成本和时间上已非天方夜谭但对于单机逆向挑战来说通常不现实除非密钥空间被进一步限制如密钥由数字组成。差分/线性密码分析这是学术上攻破DES的方法但在实际逆向中极少手动使用因为需要大量的明密文对和复杂的数学分析。利用算法实现漏洞关注非算法本身而是实现的漏洞。例如如果程序使用ECB模式且加密的内容有固定结构如userxxxroleyyy你可以通过构造特定的明文结合密文的替换可能实现权限提升例如将加密后的roleuser块替换为roleadmin块。逆向心得逆向DES加密的程序很多时候难点不在DES本身而在于找到它和理解它在整个程序逻辑中的上下文。密钥往往不是孤立的它与业务逻辑紧密相关。我常用的策略是先静态分析找特征、猜流程然后动态调试在关键比较处下断观察寄存器、栈和内存中的数据变化最后结合对程序功能的理解是一个注册机还是一个通信协议客户端推断出密钥的生成或使用方式。不要一上来就试图去理解每一行汇编代码先把握大局。5. 常见问题与排查技巧实录在实际实现和逆向过程中你会遇到各种稀奇古怪的问题。这里记录一些我踩过的坑和解决方法。5.1 实现阶段的“坑”加解密结果不对首要检查测试向量。务必使用标准的已知答案测试如NIST SP 800-17附录B的测试数据。从最简单的单个分组、全零密钥开始测试。位序问题这是最常见的错误。DES标准文档中数据是按大端序Big-Endian且位序从1开始最左位为位1来描述的。而在我们的C语言实现中一个字节内是高位在前左还是低位在前左以及数组下标代表的是高位还是低位必须统一。我的示例代码中permute函数假设输入数组的每个字节是高位在前input[0]的最高位是第1位并且置换表数字也是从1开始计数。如果你的结果不对很可能是这里搞反了。一个调试技巧是单独测试初始置换IP输入一个全零的64位块输出应该是固定的已知值。S盒查表错误S盒的输入是6位输出是4位。计算行号和列号时要严格按照标准6位输入中的第1位和第6位组成2位的行号第2到第5位组成4位的列号。在从字节数组中提取这6位时位索引计算极其容易出错。建议写一个辅助函数extract_bits来专门处理。子密钥生成错误确保PC-1置换后正确地将56位分成了C0和D0各28位。循环左移时要确保是28位的循环即移出的位要补到另一边并且要 0x0FFFFFFF来确保高位清零。性能问题查表法优化我们上面的实现是“教科书式”的每一步都按位操作性能很差。工业级实现会使用查表法。例如可以将整个一轮的Feistel运算甚至多轮运算预先根据输入和密钥计算出巨大的查找表。但这会消耗大量内存。一个折中的优化是预计算S盒的输出将6位输入直接映射到32位输出结合了E、S、P的复合表。5.2 逆向分析阶段的“坑”反编译/反汇编代码混乱识别编译器优化现代编译器如GCC, MSVC会对循环、查表进行激进优化代码可能变得难以辨认。例如S盒查表可能被展开成一系列的条件移动CMOV指令或巨大的switch-case。此时关注常量数据比关注控制流更重要。找到S盒数据就找到了算法的“锚点”。内联函数DES的轮函数或置换函数可能被编译器内联到加密主循环中使得函数边界消失。你需要通过识别重复的模式如相同的常量表被多次引用来划定逻辑边界。密钥被混淆或加密白盒密码学在一些高保护强度的软件如DRM、支付软件中可能会使用白盒DES。其密钥被与庞大的查找表融合在一起代码中根本不存在独立的密钥数据。逆向白盒实现极其困难通常需要深厚的密码学和程序分析功底可能需要使用符号执行、侧信道分析等高级技术。对于初学者如果遇到这种可能需要考虑其他攻击面如协议层、输入验证。动态调试被检测反调试技术目标程序可能使用IsDebuggerPresent、CheckRemoteDebuggerPresent、NtQueryInformationProcess等API或通过rdtsc指令检测时间差来发现调试器。需要使用插件如ScyllaHide, TitanHide或手动patch来绕过这些检测。代码自修改或加壳程序可能被压缩或加密运行时才解密真正的代码。你需要先脱壳或者找到OEPOriginal Entry Point后再进行分析。对于简单的UPX壳可以直接用工具脱对于复杂的商业壳可能需要手动跟踪。5.3 工具使用技巧IDA Pro/Ghidra善用“查找字节序列”功能来搜索S盒等常量表。在Ghidra中可以使用Search - For Strings...选择“Array of bytes”来搜索二进制数组。定义好数据结构如int[64]的IP表可以让反编译代码更易读。x64dbg/x32dbg利用“内存映射”窗口在.rdata段只读数据中直接查看可能的常量表。设置硬件断点对内存访问断点来追踪密钥数据何时被读取。Python辅助在逆向时经常需要将内存中抓取的一串十六进制字节转换成字符串、或者进行简单的异或、移位测试。写一个Python脚本环境会事半功倍。例如用pwntools或capstone来辅助分析代码片段用Crypto.Cipher.DESPyCryptodome库来快速验证你的密钥猜测是否正确。最后记住逆向工程是一场耐心的游戏。面对DES这样的算法清晰的思路和有条理的排查比盲目尝试更重要。从识别特征开始逐步还原其密钥处理流程结合动态调试验证你的猜想最终总能找到突破口。每一次成功的逆向不仅是对目标程序的胜利更是对自己分析能力的一次锤炼。