如何在 C# 中解密由 des.exe 加密的文件？

Question

我有一個由des.exe加密的文件。

可以使用以下命令加密和解密文件：

des -E -k "foo" sample.txt sample.txt.enc
des -D -k "foo" sample.txt.enc sample.txt.dec

我嘗試使用以下方法解密：

public byte[] Decrypt(FileInfo file, string key)
{
  byte[] keyAsBytes = LibDesPasswordConvertor.PasswordToKey(key);
  byte[] initializationVector = keyAsBytes;

  var cryptoProvider = new DESCryptoServiceProvider();  
  cryptoProvider.Mode = CipherMode.CBC;
  cryptoProvider.Padding = PaddingMode.None;  

  using (FileStream fs = file.OpenRead())
  using (var memStream = new MemoryStream())
  using (var decryptor = cryptoProvider.CreateDecryptor(keyAsBytes, initializationVector))
  using (var cryptoStream = new CryptoStream(memStream, decryptor, CryptoStreamMode.Write))
  {
    fs.CopyTo(cryptoStream);
    fs.Flush();
    cryptoStream.FlushFinalBlock();

    return memStream.ToArray();
  }
}

public static class LibDesPasswordConvertor
{
  public static byte[] PasswordToKey(string password)
  {
    if (string.IsNullOrWhiteSpace(password)) 
    { 
      throw new ArgumentException("password"); 
    }

    var key = new byte[8];

    for (int i = 0; i < password.Length; i++)
    {
      var c = (int)password[i];
      if ((i % 16) < 8)
      {
        key[i % 8] ^= (byte)(c << 1);
      }
      else
      {
        // reverse bits e.g. 11010010 -> 01001011
        c = (((c << 4) & 0xf0) | ((c >> 4) & 0x0f));
        c = (((c << 2) & 0xcc) | ((c >> 2) & 0x33));
        c = (((c << 1) & 0xaa) | ((c >> 1) & 0x55));
        key[7 - (i % 8)] ^= (byte)c;
      }
    }

    AddOddParity(key);

    var target = new byte[8];
    var passwordBuffer = Encoding.ASCII.GetBytes(password).Concat(new byte[8]).Take(password.Length + (8 - (password.Length % 8)) % 8).ToArray();

    using(var des = DES.Create())
    using(var encryptor = des.CreateEncryptor(key, key))
    {
      for (int x = 0; x < passwordBuffer.Length / 8; ++x)
      {
        encryptor.TransformBlock(passwordBuffer, 8 * x, 8, target, 0);
      }
    }

    AddOddParity(target);

    return target;
  }


  private static void AddOddParity(byte[] buffer)
  {
    for (int i = 0; i < buffer.Length; ++i)
    {
      buffer[i] = _oddParityTable[buffer[i]];
    }
  }

  private static byte[] _oddParityTable = {
          1,  1,  2,  2,  4,  4,  7,  7,  8,  8, 11, 11, 13, 13, 14, 14,
         16, 16, 19, 19, 21, 21, 22, 22, 25, 25, 26, 26, 28, 28, 31, 31,
         32, 32, 35, 35, 37, 37, 38, 38, 41, 41, 42, 42, 44, 44, 47, 47,
         49, 49, 50, 50, 52, 52, 55, 55, 56, 56, 59, 59, 61, 61, 62, 62,
         64, 64, 67, 67, 69, 69, 70, 70, 73, 73, 74, 74, 76, 76, 79, 79,
         81, 81, 82, 82, 84, 84, 87, 87, 88, 88, 91, 91, 93, 93, 94, 94,
         97, 97, 98, 98,100,100,103,103,104,104,107,107,109,109,110,110,
        112,112,115,115,117,117,118,118,121,121,122,122,124,124,127,127,
        128,128,131,131,133,133,134,134,137,137,138,138,140,140,143,143,
        145,145,146,146,148,148,151,151,152,152,155,155,157,157,158,158,
        161,161,162,162,164,164,167,167,168,168,171,171,173,173,174,174,
        176,176,179,179,181,181,182,182,185,185,186,186,188,188,191,191,
        193,193,194,194,196,196,199,199,200,200,203,203,205,205,206,206,
        208,208,211,211,213,213,214,214,217,217,218,218,220,220,223,223,
        224,224,227,227,229,229,230,230,233,233,234,234,236,236,239,239,
        241,241,242,242,244,244,247,247,248,248,251,251,253,253,254,254};
}

但是當我執行時：

const string KEY = "foo";  
var utf8Bytes = Decrypt(new FileInfo(@"PATH-TO\sample.txt.enc"), KEY);

我得到：

�1D���z+�a Sample.y���0F�01

原文：

This is a Sample.

加密：

ñGYjl¦ûg†¼64©‹Bø
é¯Kœ|

Answer 1

令我驚訝的是，您已經正確地導出了密鑰。 這就是問題的核心，所以已經解決了那部分問題。 當您看到解密中存在那部分明文時，密鑰是正確的就很清楚了 - 如果密鑰錯誤，則不會。

---

查看過去的源代碼和一些文檔，我發現可能是全零的 IV，而不是重用密鑰字節（在密碼學術語中，兩者都是非常錯誤的）。

此外，與 SSLeay 一樣，ECB 和 CBC 模式使用 PKCS#7 兼容填充，而不是無填充。

---

最后，如果您關閉流，例如通過退出 try-with-resources， FlushFinalBlock將被自動調用。 因此，如果您之后獲得數組，那么您應該獲得正確的值 - 當然，在您正確取消填充之后。 如果你調用Flush那么FlushFinalBlock將已經被調用，並且調用它兩次會使事情變得一團糟。

在CryptoStream關閉后簡單地刪除刷新調用並檢索數組是要走的路。

---

Young 從 MIT 復制的 DES 和密鑰派生（ des_string_to_key和des_string_to_2keys ）都是完全不安全的。 使用全零 IV 是錯誤的。

如果您將其用作傳輸模式，則填充預言機將適用，並且攻擊者甚至不需要解密。 密文不受完整性保護。

如果您使用上述例程來保持任何機密或安全，那么您就是在自欺欺人。 這是 80 年代的技術，我認為當時真正的密碼學家也不會發現它是安全的。

基本上，如果你的攻擊者超過 8 歲，你就有麻煩了。