シングルバイトXORエンコーディングを簡易的に実装

718 文字

4 分

シングルバイトXORエンコーディングを簡易的に実装

2025-06-20

Tech

Malware

/

C言語

「初めてのマルウェア解析」でXORエンコーディングについて学習したので、実装して色々実際に試してみました。

シングルバイトXORについて#

シングルバイトXORは、平文の各バイトと暗号化キーでXORされます。

シンプルなXORエンコーディング#

ファイルを読み込み、シンプルなシングルバイトXORを行うプログラムをC言語で実装しました。

実装#

1
#include <stdio.h>
2
#include <stdlib.h>
3

4
void xor_encrypt_decrypt(char* data, size_t len, unsigned char key) {
5
    for (size_t i = 0; i < len; i++) {
6
        data[i] ^= key;
7
    }
8
}
9

10
int main(int argc, char* argv[]) {
11
    if (argc != 4) {
12
        printf("Usage: %s <input> <output> <key_byte>\n", argv[0]);
13
        return 1;
14
    }
15

16
    FILE* in = fopen(argv[1], "rb");
17
    FILE* out = fopen(argv[2], "wb");
18
    unsigned char key = (unsigned char)strtoul(argv[3], NULL, 0);
19

20
    fseek(in, 0, SEEK_END);
21
    size_t size = ftell(in);
22
    rewind(in);
23

24
    char* buffer = malloc(size);
25
    fread(buffer, 1, size, in);
26

27
    xor_encrypt_decrypt(buffer, size, key);
28
    fwrite(buffer, 1, size, out);
29

30
    fclose(in);
31
    fclose(out);
32
    free(buffer);
33

34
    return 0;
35
}

実行#

1
$ gcc -g xor_crypt.c -o xor_crypt
2

3
$ cat ./input/input.txt
4
hello_xor_crypt
5

6
$ xxd ./input/input.txt
7
00000000: 6865 6c6c 6f5f 786f 725f 6372 7970 74    hello_xor_crypt
8

9
$ ./xor_crypt.exe ./input/input.txt ./output/encrypted.bin 0x7A

XORエンコーディングの確認#

平文がわからなくなりました。

1
$ xxd ./output/encrypted.bin
2
00000000: 121f 1616 1525 0215 0825 1908 030a 0e    .....%...%.....

NULLバイトを無視するXORエンコーディング#

XORでは、NULLバイト(0x00)が暗号化キーとXORされると、暗号化キーにエンコードされます。

また、暗号キーと同じ値とXORされた場合は、NULLバイトになります。

1
$ python
2

3
>>> c = 0x00
4
>>> key = 0x7a
5
>>> hex(c ^ key)
6
'0x7a'
7
>>> hex(key ^ key)
8
'0x0'

NULLバイトを含めたXORエンコーディングの確認#

先ほどで作成した、xor_crypt.exeでNULLバイトを含めたファイルをXORエンコーディングしてみます。

1
$ printf 'hello_xor_crypt\00\00\00\00\00' >> ./input/input_null.txt
2

3
$ xxd ./input/input_null.txt
4
00000000: 6865 6c6c 6f5f 786f 725f 6372 7970 7400  hello_xor_crypt.
5
00000010: 0000 0000                                ....
6

7
$ ./xor_crypt.exe ./input/input_null.txt ./output/encrypted_null.bin 0x7A

下記のように、NULLバイトが暗号キーの値になっています。そのため、暗号キーの特定が容易になります。

1
$ xxd ./output/encrypted_null.bin
2
00000000: 121f 1616 1525 0215 0825 1908 030a 0e7a  .....%...%.....z
3
00000010: 7a7a 7a7a                                zzzz

実装#

暗号キーの特定を回避するため、NULLバイトと暗号キーのXORを無視する実装をしてみます。

1
#include <stdio.h>
2
#include <stdlib.h>
3

4
void xor_encrypt_decrypt(char* data, size_t len, unsigned char key) {
5
    for (size_t i = 0; i < len; i++) {
6
        if (data[i] == '\00' || data[i] == key) {
7
            continue;
8
        }
9
        data[i] ^= key;
10
    }
11
}
12

13
int main(int argc, char* argv[]) {
14
    if (argc != 4) {
15
        printf("Usage: %s <input> <output> <key_byte>\n", argv[0]);
16
        return 1;
17
    }
18

19
    FILE* in = fopen(argv[1], "rb");
20
    FILE* out = fopen(argv[2], "wb");
21
    unsigned char key = (unsigned char)strtoul(argv[3], NULL, 0);
22

23
    fseek(in, 0, SEEK_END);
24
    size_t size = ftell(in);
25
    rewind(in);
26

27
    char* buffer = malloc(size);
28
    fread(buffer, 1, size, in);
29

30
    xor_encrypt_decrypt(buffer, size, key);
31
    fwrite(buffer, 1, size, out);
32

33
    fclose(in);
34
    fclose(out);
35
    free(buffer);
36

37
    return 0;
38
}

実行#

1
$ gcc -g ignore_null_xor_crypt.c -o ignore_null_xor_crypt
2

3
$ xxd ./input/input_null.txt
4
00000000: 6865 6c6c 6f5f 786f 725f 6372 7970 7400  hello_xor_crypt.
5
00000010: 0000 0000                                ....
6

7
$ ./ignore_null_xor_crypt.exe ./input/input_null.txt ./output/encrypted_null.bin 0x7A

NULLバイト無視の確認#

NULLバイトを無視するつくりのため、0x00のままになっています。

1
$ xxd ./output/encrypted_null.bin
2
00000000: 121f 1616 1525 0215 0825 1908 030a 0e00  .....%...%......
3
00000010: 0000 0000

終わりに#

実際に試してみようとすると、C言語を書いたり、NULLバイトを含むファイルの作成方法を調べたり、参考書を読むだけでは得られない情報も得られるため、積極的に続けていきたいです。

[Writeup] Reversing.Kr | Position

[Writeup] TryHackMe | Reversing ELF

NULLバイトを無視するXORエンコーディング

NULLバイトを含めたXORエンコーディングの確認