CTF实战：从ZIP伪加密到二进制文件结构解析
1. ZIP伪加密：CTF中的经典陷阱
第一次参加CTF比赛时，我遇到一个看似简单的MISC题目——解压一个加密的ZIP文件。当时我花了整整两小时尝试各种密码爆破工具，直到队友提醒我："这可能是伪加密"。这个经历让我深刻认识到，在CTF竞赛中，ZIP伪加密是最常见的障眼法之一。
所谓伪加密，就是文件实际上没有加密，但通过修改ZIP文件结构的特定标记位，让解压软件误以为需要密码。这种手法在BUUCTF等知名赛事中频繁出现，比如经典的"11.zip伪加密"题目。与真正的加密不同，伪加密不需要破解密码，只需要找到并修改关键字节即可。
理解伪加密的关键在于掌握ZIP文件的二进制结构。每个ZIP文件都包含三个核心部分：
- 压缩源文件数据区（Local File Header）：存储实际文件数据
- 压缩源文件目录区（Central Directory）：相当于文件索引
- 目录结束标志（End of Central Directory）：标记文件结束
2. 解剖ZIP文件：二进制结构详解
2.1 用010 Editor打开ZIP文件
工欲善其事，必先利其器。分析二进制文件我首推010 Editor，它不仅能十六进制查看，还内置了ZIP文件模板。打开文件后，你会看到类似这样的结构：
50 4B 03 04 14 00 00 00 08 00 5A 7E F7 46这串看似随机的十六进制代码，其实是ZIP文件的"DNA"。让我们拆解前几个关键字节：
- 50 4B 03 04：固定文件头标识（小端序为0x04034b50）
- 14 00：解压所需的最低PKWARE版本
- 00 00：全局方式位标记（加密判断关键）
- 08 00：压缩方式（如DEFLATE）
2.2 关键加密标记位
真正决定是否加密的是全局方式位标记（General Purpose Bit Flag）。在数据区和目录区都有这个标记，但它们的组合方式不同：
| 加密类型 | 数据区标记 | 目录区标记 | 实际状态 |
|---|---|---|---|
| 无加密 | 00 00 | 00 00 | 直接可解压 |
| 伪加密 | 00 00 | 09 00 | 假加密需修改 |
| 真加密 | 09 00 | 09 00 | 需密码破解 |
特别注意：只有第二个字节的奇偶性决定加密状态。例如：
- 09 00（奇数）：表示加密
- 00 00（偶数）：表示未加密
3. 实战破解：从识别到修复
3.1 识别伪加密特征
拿到一个ZIP文件时，我通常会先用binwalk检查：
binwalk可疑文件.zip如果显示"Zip archive data"但无法直接解压，就可能遇到伪加密。这时用010 Editor打开，重点查看两个位置：
- 数据区起始位置后第6-7字节（紧接50 4B 03 04 14 00）
- 目录区起始位置后第8-9字节（紧接50 4B 01 02 1F 00 14 00）
3.2 手动修改字节实战
以BUUCTF的"11.zip伪加密"为例，操作步骤如下：
- 在010 Editor中搜索十六进制序列"50 4B 01 02"
- 向后定位到第8-9字节（通常显示为09 00）
- 将09 00修改为00 00
- 保存文件后直接解压
我曾遇到过更隐蔽的变种题，目录区标记是0B 00。原理相同——只要把第二个字节从奇数改为偶数即可（如0B→0A）。
4. 深入理解：ZIP文件结构全解析
4.1 数据区（Local File Header）
这是文件实体存储区域，结构如下：
50 4B 03 04 [版本] [标记位] [压缩方式] [时间戳] [日期戳] [CRC] [压缩大小] [未压缩大小] [文件名长度] [额外字段长度] [文件名] [额外字段] [文件数据]关键字段说明：
- 时间戳：5A 7E表示18:45:30
- 日期戳：F7 46表示2023-11-15
- CRC：文件校验值
4.2 目录区（Central Directory）
相当于文件系统的目录表，结构更复杂：
50 4B 01 02 [创建版本] [解压版本] [标记位] [压缩方式] [时间戳] [日期戳] [CRC] [压缩大小] [未压缩大小] [文件名长度] [额外字段长度] [文件注释长度] [磁盘号] [内部属性] [外部属性] [相对偏移] [文件名] [额外字段] [注释]4.3 目录结束标志（EOCD）
标记文件结束，包含重要元信息：
50 4B 05 06 [当前磁盘号] [目录开始磁盘] [本磁盘记录数] [总记录数] [目录大小] [目录偏移] [注释长度] [注释]5. 进阶技巧与常见陷阱
5.1 自动化识别脚本
虽然手动修改可行，但比赛中时间宝贵。我常用这个Python脚本快速检测伪加密：
import zipfile def check_fake_encryption(zip_path): with open(zip_path, 'rb') as f: data = f.read() # 查找目录区标记 cd_pos = data.rfind(b'PK\x01\x02') if cd_pos == -1: return False # 检查目录区加密标记 flag_byte = data[cd_pos + 8] return (flag_byte & 1) == 1 and data.find(b'PK\x03\x04\x14\x00\x09\x00') == -15.2 常见变种题型
- 双重伪加密：数据区和目录区都标记为加密，但实际未加密
- 部分加密：ZIP内部分文件真加密，部分伪加密
- 结构损坏：故意破坏文件结构增加修复难度
5.3 其他工具链推荐
- hexdump：Linux下快速查看十六进制
hexdump -C 可疑文件.zip | head -n 20 - zipdetails：专业分析ZIP结构
zipdetails -v 可疑文件.zip - 7z：有时能绕过伪加密检测
7z x 可疑文件.zip
在CTF比赛中，ZIP类题目往往只是开始。掌握文件结构分析技术后，你可以进一步挑战更复杂的文件格式分析，如PNG结构解析、PDF流对象处理等。每次比赛我都会收集各类文件结构的脑图，这些经验最终形成了我的"二进制文件分析手册"