Green VPN及加密文件逆向分析实战教学文档

1. 引言

本教学文档详细讲解如何对Green VPN软件进行逆向分析，定位其加密配置文件（如module.ini、system.ini等）的解密算法，并最终实现对这些加密文件的解密过程。该技术可用于网络安全分析、取证调查等合法用途。

2. 分析目标

• 目标软件：Green VPN
• 加密文件：module.ini、system.ini、module_en.ini等配置文件
• 分析目的：解密这些文件获取服务器地址等关键信息

3. 分析思路

1. 基本原理：软件运行时必须将加密配置文件解密为明文才能使用
2. 关键假设：可执行文件中必然包含解密代码段
3. 突破口：通过文件读取API定位解密代码位置

4. 工具准备

• Ollydbg（或OllyICE）：用于动态调试和分析
• 十六进制编辑器：用于查看文件内容
• C语言编译器：用于实现解密算法

5. 详细分析步骤

5.1 初步定位解密代码位置

1. 使用Ollydbg加载Green.exe
2. 查找ReadFile API调用点
   • 这是关键，因为软件需要读取加密文件
3. 在所有ReadFile API调用处设置断点

5.2 动态调试过程

1. 运行程序并触发断点
2. 观察读取system.ini文件的过程：
   • 文件内容被读取到内存缓冲区（如00185D48）
3. 跟踪该缓冲区的硬件访问：
   • 在Ollydbg中对内存地址右键→"断点"→"硬件访问"
4. 单步执行直到发现解密代码段

5.3 解密算法分析

通过调试发现解密过程的核心汇编代码：

mov al, [esi]      ; 从内存读取一个字节到AL寄存器
xor al, 0xBD       ; 与0xBD进行异或操作
add al, 0x69       ; 加上0x69
mov [esi], al      ; 将结果存回内存
inc esi            ; 移动到下一个字节
dec eax            ; 计数器减1
jnz short loc_xxxx ; 循环直到处理完所有字节

解密算法特点：

• 逐字节处理
• 每个字节先与0xBD异或
• 然后加上0x69
• 循环处理整个文件

5.4 C语言实现解密算法

#include <stdio.h>
#include <stdlib.h>

// 解密函数
void decrypt(unsigned char* data, int length) {
    for(int i = 0; i < length; i++) {
        data[i] ^= 0xBD;
        data[i] += 0x69;
    }
}

// 读取文件函数
unsigned char* readfile(const char* filename, int* length) {
    FILE* file = fopen(filename, "rb");
    if(!file) return NULL;
    
    fseek(file, 0, SEEK_END);
    *length = ftell(file);
    fseek(file, 0, SEEK_SET);
    
    unsigned char* buffer = (unsigned char*)malloc(*length);
    fread(buffer, 1, *length, file);
    fclose(file);
    
    return buffer;
}

// 写入文件函数
int writefile(const char* filename, unsigned char* data, int length) {
    FILE* file = fopen(filename, "wb");
    if(!file) return 0;
    
    fwrite(data, 1, length, file);
    fclose(file);
    return 1;
}

int main(int argc, char* argv[]) {
    if(argc != 3) {
        printf("Usage: %s <input file> <output file>\n", argv[0]);
        return 1;
    }
    
    int length = 0;
    unsigned char* data = readfile(argv[1], &length);
    if(!data) {
        printf("Error reading file %s\n", argv[1]);
        return 1;
    }
    
    decrypt(data, length);
    
    if(!writefile(argv[2], data, length)) {
        printf("Error writing file %s\n", argv[2]);
        free(data);
        return 1;
    }
    
    free(data);
    printf("File %s decrypted successfully to %s\n", argv[1], argv[2]);
    return 0;
}

5.5 使用解密程序

1. 编译上述C代码生成可执行文件
2. 命令行用法：

   decryptor <加密文件路径> <输出文件路径>
   

3. 示例：

   decryptor system.ini system_decrypted.ini
   

6. 结果验证

解密后的文件应包含明文配置信息，如：

• 服务器地址
• 端口号
• 更新源地址
• 其他连接参数

7. 技术要点总结

1. API断点法：通过关键API（如ReadFile）定位相关代码段
2. 内存跟踪：通过硬件访问断点跟踪数据处理过程
3. 算法逆向：从汇编代码还原高级语言算法
4. 循环处理：注意识别循环结构及其终止条件
5. 字节操作：关注XOR、ADD等字节级操作指令

8. 扩展思考

1. 加密变种：实际分析中可能遇到更复杂的加密算法
   • 多轮变换
   • 密钥派生
   • 动态密钥
2. 反调试技术：软件可能采用反调试措施
   • 需要绕过检测
   • 使用更隐蔽的调试方法
3. 自动化分析：可开发IDA Python脚本自动化部分分析过程

9. 注意事项

1. 本技术仅用于合法用途
2. 实际分析中加密算法可能不同，需灵活调整
3. 建议在隔离环境中进行分析
4. 保留完整的分析记录和证据链

10. 参考资料

1. 《逆向工程核心原理》
2. Ollydbg官方文档
3. Windows API参考手册
4. x86汇编语言指南

本教学文档详细记录了从逆向分析到算法实现的完整过程，可作为类似加密文件分析任务的参考模板。实际应用中需根据具体情况调整分析方法和技术手段。