网络协议逆向中，恢复加密密钥通常不是直接对算法做数学破解，而是利用协议实现中的弱随机性、密钥流复用或可预测字段。已知明文攻击的核心在于同一密钥作用下，明文与密文的某些线性或可逆关系会暴露密钥流。Ruby的字符串和数组操作很适合做字节级分析，下面从密钥流恢复开始讨论。
一、已知明文攻击的数学基础
对称加密中很多算法可以抽象成明文与密钥流做异或。流密码如RC4、AES-CTR，以及最简单的重复异或编码，都满足：密文等于明文异或密钥流。当同一密钥流重复使用时，两条密文异或就能消掉密钥流，得到两条明文的异或结果；如果其中一条明文已知，就能直接还原另一条明文和对应密钥流。
例如协议中固定开头的报文头通常包含版本号、类型、长度字段，这些内容对逆向者来说很容易推测。把已知明文片段与对应位置密文异或，得到的就是密钥流片段。对RC4来说，这只能恢复当前偏移的密钥流，不能直接反推出种子密钥；但对很多自实现弱加密，密钥直接参与异或或加减运算，已知明文就能还原原始密钥字节。
分组密码在CBC模式下不具备直接异或关系，但如果密文分组与明文分组已知，可以恢复中间状态。例如攻击者已知CBC某一分组的明文P2、密文C2和上一分组密文C1，就能推算出解密函数输出的中间值：D_K(C2) = P2 XOR C1。这个值对恢复主密钥没有直接帮助，但可用于构造后续密文。AES-CTR则和流密码一样，已知明文能恢复加密计数器块产生的密钥流，例如 keystream = ciphertext XOR plaintext。
二、Ruby提取密文与对齐已知明文
从pcap或十六进制日志提取密文，第一步是把原始字节转成Ruby数组。可以先从Wireshark导出TCP流，再用Ruby读取二进制文件。下面的脚本读取原始数据并转成十六进制便于检查：
data = File.binread('stream.bin')
puts data.unpack1('H*').scan(/../).join(' ')
提取出十六进制后，需要准确找到加密字段的起始偏移。网络协议通常不是整个TCP负载都加密，可能只有消息体加密，而消息头保留明文。可以查找已知协议头特征，或对比多组报文观察固定变化与随机变化的分界。如果错误偏移一个字节，异或得到的密钥流会完全错位。
确定偏移后，将密文切片和已知明文逐字节对齐。已知明文可以来自协议固定的magic number、用户名、命令字、时间戳格式等。Ruby的bytes方法能避免字符串编码带来的干扰，直接比较数值：
known = "GET /api/v1/".b
cipher = data.bytes[0, known.bytesize]
keystream = known.bytes.zip(cipher).map { |p, c| p ^ c }
keystream.each_with_index do |k, i|
puts format('%02x', k)
end
如果密文是十六进制文本，需要先按两个字符一组还原成字节。注意 pack('H*') 适合连续十六进制字符串，不要与 unpack1('H*') 混淆。得到密钥流后，可以先统计其熵值和重复周期。高熵且无明显周期说明可能由专业加密算法生成，低熵或短周期则暗示弱编码或自定义异或。
三、Ruby恢复常见算法密钥的实现
对于重复异或编码，已知明文片段可以直接恢复周期密钥。假设密钥长度固定，且已知明文比密钥长，可以用第一个周期推导密钥，再解密其余密文验证。下面实现周期异或密钥恢复：
def xor_bytes(a, b)
a.zip(b).map { |x, y| x ^ y }
end
cipher = [0x1f, 0x0b, 0x12, 0x1f, 0x0a, 0x17, 0x2a, 0x1f, 0x0b]
known = "GET".b
key = xor_bytes(cipher[0, known.bytesize], known.bytes)
# 用密钥周期解密整段
decrypted = cipher.each_with_index.map { |c, i| c ^ key[i % key.length] }.pack('C*')
puts decrypted
这段代码展示的是理想情况。真实协议中可能还叠加Base64、转义、压缩或校验和。Base64看起来像文本，实际转成二进制后才进入加密层。压缩会让已知明文无法直接对齐，因为输入已经改变。遇到这种情况需要先还原协议栈每一层变换，再定位到原始明文与密文的对应关系。
对于RC4，如果IV或密钥创建过程可预测，问题就变成恢复伪随机序列。可以借助Ruby的openssl库做验证：
require 'openssl'
def rc4_decrypt(key, data)
cipher = OpenSSL::Cipher.new('rc4')
cipher.decrypt
cipher.key = key
cipher.update(data) + cipher.final
end
candidate_key = ['deadbeef'].pack('H*')
puts rc4_decrypt(candidate_key, ciphertext)
但恢复RC4主密钥比获取密钥流困难得多。已知明文只能验证某个候选密钥是否正确，实际逆向中常用弱密钥重置、密钥流重用、错误随机数等实现漏洞间接恢复。例如某些物联网设备每次启动使用相同随机数，多次握手产生相同密钥流，异或两段密文即可得到明文异或，再通过已知字段逐步剥离。
AES-CTR模式可以精确恢复某个计数器块生成的密钥流。代码如下：
require 'openssl'
def aes_ctr_keystream(cipher, plain)
cipher.bytes.zip(plain.bytes).map { |c, p| c ^ p }
end
ct = File.binread('ctr_payload.bin')
known_plain = "login\x00admin\x00".b
ks = aes_ctr_keystream(ct[0, known_plain.bytesize], known_plain)
puts ks.map { |b| format('%02x', b) }.join
这段脚本得到的是特定计数器起始值下的密钥流，不是AES主密钥。主密钥仍由算法强度保护，除非密钥长度过短或使用弱口令。此时可以结合字典进行离线验证：用候选口令推导密钥，解密后检查是否包含已知明文。Ruby的OpenSSL绑定性能尚可，适合小规模口令表，大规模暴力破解仍建议使用专门工具并只在授权环境操作。
四、验证、误判与授权边界
恢复出密钥或密钥流后，要用独立样本验证。将密钥或密钥流应用到其他密文，检查是否生成合法协议字段，比如长度字段是否合理、校验和是否正确。单一明文片段可能因为巧合产生错误候选，尤其当密钥流较短时。多组交叉验证能显著降低误判率。
另一个常见问题是明文编码差异。协议中的字符串可能使用UTF-16LE、GBK或自定义码表，直接按UTF-8字节异或会得到错误的密钥流。遇到非ASCII字段，先查阅协议文档或使用多组样本推断编码。数字字段还可能是大端序或小端序，偏移差一个字节都会让结果不可读。
最后，已知明文攻击只应出现在安全研究、CTF、漏洞验证或已获得授权的测试环境中。对生产网络抓包和还原加密内容可能涉及法律风险。项目中应当限定在实验流量或自建设备中复现，并做好数据隔离。掌握了密钥恢复方法后，更重要的目标通常是改进协议实现：避免自定义弱加密、使用足够随机数的AEAD模式、确保密钥和nonce不重用。
网络协议逆向Ruby加密密钥恢复已知明文攻击修改时间：2026-10-03 21:08:37