从文件头到解压器：全面解析ZIP/RAR伪加密的识别与破解
1. ZIP/RAR伪加密：什么是"假密码"？
第一次遇到伪加密压缩包时，我也被它骗了。明明输入了正确的密码，解压软件却提示密码错误。后来才发现，这就像超市货架上的"样品食品"——包装完好，但里面根本没有食物。伪加密（Fake Encryption）就是通过修改文件结构中的特定标记位，让解压软件误以为文件被加密，实际上数据根本没有经过加密处理。
这种技术最早被用于软件防盗版，比如某些游戏厂商会在光盘镜像中设置伪加密区块。现在更多见于CTF竞赛题目和网络安全测试场景。与真加密相比，伪加密有三大特征：
- 无实质加密：数据存储完全明文
- 低技术门槛：只需修改2-4个字节
- 普遍兼容：几乎所有压缩格式都适用
最常被动手脚的是ZIP和RAR这两种主流格式。接下来我会用010 Editor带你看穿它们的"魔术戏法"。
2. 解剖ZIP文件：三区结构探秘
2.1 文件结构的三个关键区
用010 Editor打开任意ZIP文件，你会看到像乐高积木般的分层结构。ZIP文件由三个核心区块构成：
压缩源文件数据区（Local File Header）
- 存储实际文件数据
- 关键字段：frFlags（2字节，偏移量6-7）
压缩文件目录区（Central Directory）
- 相当于文件系统的目录表
- 关键字段：deFlags（2字节，偏移量8-9）
目录结束标志（End of Central Directory）
- 标记文件结尾
2.2 真伪加密的十六进制指纹
在010 Editor中按Ctrl+F搜索"frFlags"，你会看到类似这样的十六进制值：
无加密标准文件： frFlags: 00 00 deFlags: 00 00 真加密文件： frFlags: 09 00 deFlags: 09 00 伪加密文件： frFlags: 00 00 deFlags: 09 00关键差异在于第9位比特（0x0009中的9）：
- 0x0001：文件有注释
- 0x0008：使用增强压缩
- 0x0009：加密标记（1+8组合）
注意：WinRAR等软件会同时检查frFlags和deFlags，而7-Zip主要验证deFlags
3. 破解ZIP伪加密的三板斧
3.1 手动修改字节（硬核版）
- 用010 Editor打开伪加密ZIP
- 跳转到中央目录区（Ctrl+G输入"50 4B 01 02"）
- 找到deFlags字段（通常距目录头8字节）
- 将09 00改为00 00
- 保存后即可正常解压
实测案例：某CTF题目中的secret.zip文件，修改前后对比：
| 修改部位 | 原值 | 新值 | 效果 |
|---|---|---|---|
| deFlags | 09 00 | 00 00 | 成功解压 |
3.2 软件暴力突破（懒人版）
这些工具能自动忽略伪加密标记：
- WinRAR：5.0+版本默认支持
- 7-Zip：19.00+版本直接拖拽
- Bandizip：右键"自动修复压缩包"
踩坑提醒：360压缩对伪加密的兼容性不稳定，建议优先用前两种
3.3 专用工具秒杀（高效版）
对于批量处理，推荐使用ZipCenOp.jar：
java -jar ZipCenOp.jar r 可疑文件.zip这个Java工具会自动扫描并修复三种异常：
- 伪加密标记
- 损坏的目录结构
- 非常规压缩方式
4. RAR伪加密的机关陷阱
4.1 RAR的文件头把戏
RAR格式比ZIP更复杂，但伪加密原理相似。关键字段有两个：
PASSWORD_ENCRYPTED（第24字节）
- 0x00：未加密
- 0x01：伪加密
BLOCK_HEADERS_ENCRYPTED（第11字节）
- 修改后会导致WinRAR报"文件头损坏"
4.2 破解RAR伪加密实战
用010 Editor修改的详细步骤：
- 打开RAR文件搜索"52 61 72 21"（RAR文件头签名）
- 第24字节改为00（清除密码标记）
- 第11字节改为00（修复文件头）
- 保存后即可解压
特殊案例：遇到双重伪加密（同时修改两个字段）时，需要先修复BLOCK_HEADERS_ENCRYPTED，再处理PASSWORD_ENCRYPTED。
5. 防御与检测：安全人员的工具箱
5.1 自动化检测脚本
Python示例代码，快速识别伪加密：
import zipfile def check_fake_encryption(zip_path): with zipfile.ZipFile(zip_path) as zf: for info in zf.infolist(): if info.flag_bits & 0x1: if not info.flag_bits & 0x40: # 检查是否真加密 return "伪加密" return "正常"5.2 文件指纹数据库
建议收集这些特征码建立检测规则：
| 格式 | 特征位置 | 正常值 | 伪加密值 |
|---|---|---|---|
| ZIP | deFlags | 00 00 | 09 00 |
| RAR | 0x18偏移 | 00 | 01 |
| 7Z | Header | 00 | 非0值 |
6. 伪加密的合法应用场景
虽然常被用于CTF比赛，但伪加密也有正当用途：
- 软件试用版：限制部分功能而非全文件加密
- 文档水印：在不加密内容的情况下标记版权
- 数据校验：防止文件被意外修改
某电商平台就曾用伪加密技术保护价格配置文件，既防止普通用户篡改，又不需要管理复杂的密钥体系。