"Verschlüsselte" Bilddateien "entschlüsseln"

[The Riddler]

Hallo,

ich stehe vor einem kleinen aber feinen Problem: Ich habe hier diverse PNG und JPG Dateien, welche zu einem bestimmten Programm gehören. Da die Ersteller des Programmes allerdings nicht sonderlich gut darin waren, schöne Grafiken zu machen, möchte ich diese Bilddateien durch von mir erstelle Bilder austauschen.

Das Problem: Die Original-Bilddateien sind anscheinend "verschlüsselt", jedenfalls kann ich sie mit keinem anderen Bildbetrachter öffnen. Vermutlich wurden einfach ein paar Bytes entfernt sodass jedes Bildprogramm scheitert diese Grafiken zu laden.

Nun wäre es nicht unbedingt erforderlich das ich die Originaldateien sozusagen "entschlüssele", es wäre schon sinnvoller für mich wenn ich wüsste was die Programmautoren mit den Bildern gemacht haben um sie so hinzubekommen. Und natürlich wäre es perfekt wenn ich wissen würde, wie ich meine eigenen Bilder so verändere das das fremde Programm sie frisst.

Wäre super wenn einer von euch Experten sich das einmal angucken könnte, da mir einfach das nötige Wissen für so etwas fehlt. Eine Beispiel-Grafik habe ich einmal angehangen.

Danke & Grüße

[Daniel]

Moin,

erste Analysen sind gar nicht so schwer. Besorge Dir einen Hex-Editor, oder wenigstens einen Hex-Viewer. Der erlaubt es Dir, die Datei als Byte-Strom aufzufassen und Dir mal anszusehen, was da für Bytes in der Datei stehen. Diese müssen nämlich - wenn es denn eine PNG-Datei ist - einem bestimmten Format entsprechend, dem PNG-Format.

Falls es sich die Entwickler seeeeeeeeehr einfach gemacht haben, dann haben sie lediglich im Header ein paar Bytes verändert. Das kannst Du selbst kontrollieren, indem Du Dir mal die Spezifikationen für das PNG-Format ansiehst. keine Sorge: Du sollst keinen vollständigen Viewer schreiben, musst Du auch nicht. Nur ein paar Bytes im Header der Datei ansehen, das ist eine lösbare Aufgabe auch wenn man im Hinblick auf PNG-Dateien nur mäßige Vorkenntnisse hat.

Der Header einer PNG-Datei beispielsweise ist hier aufgelistet:
http://en.wikipedia.org/wiki/Portabl...cs#File_header

[The Riddler]

Hi,

danke erstmal. :)

Die ersten 8 Byte der PNG Datei sehen so aus: 80 87 97 87 8D 8D 8D 80, es scheint also in der Tat keinen Header zu geben oder er ist verschlüsselt.

Ich habe jetzt einfach mal den PNG-Header (89 50 4E 47 0D 0A 1A 0A) an den Anfang der Datei gesetzt, aber die Datei kann weiterhin nicht angezeigt werden. Wäre auch zu schön gewesen wenns so einfach gewesen wäre. :P

[richard_boderich]

Mahlzeit!

Dann gehe ich davon aus, das die Dateien binär verschlüsselt sind. Wenn du den Algorithmus nicht kennst ist jeder
Versuch Zeitverschwendung. Woher weist du eigentlich das es Bilder sind? Ich kann dir auch irgendein Binärformat hinklatschen
und hänge irgendeine Dateiendung dran.

[The Riddler]

Hi richard,

weil diese Dateien in dem Fremdprogramm ja angezeigt werden.

Keine Möglichkeit also da ranzukommen?

Greets

[Daniel]

Solange Du nicht weißt, welchen Prozess sie verwenden, um ihre Bilder zu "schützen", ist es halt schwierig, diesen umkehren zu wollen. Was Du machen müsstest, wäre eine Form von "Reverse-Engeneering". Das heißt, dass Du Dir beispielsweise in einem Debugger ansehen müsstest, was da zur Laufzeit passiert.

Das ist aber - vorsichtig formuliert - "nicht ganz trivial".

[nicodex]

Nimm mal die ersten vier Bytes ("CF10") weg und XOR die restlichen Bytes mit $8D.

edit:

Delphi-Quellcode:

const
  FileName = 'D:\Temp\karten.png';
var
  Source: TFileStream;
  Header: array [0..3] of AnsiChar;
  Stream: TMemoryStream;
  Buffer: PByte;
  Index: Integer;
begin
  Source := TFileStream.Create(FileName, fmOpenRead);
  try
    Source.Position := 0;
    Source.ReadBuffer(Header, SizeOf(Header));
    if Header = 'CF10' then
    begin
      Stream := TMemoryStream.Create();
      try
        Stream.CopyFrom(Source, Source.Size - Source.Position);
        Buffer := Stream.Memory;
        for Index := 1 to Stream.Size do
        begin
          Buffer^ := Buffer^ xor $8D;
          Inc(Buffer);
        end;
        Stream.SaveToFile(ChangeFileExt(FileName, '.decoded') +
          ExtractFileExt(FileName));
      finally
        Stream.Free();
      end;
    end;
  finally
    Source.Free();
  end;
end;

[The Riddler]

Wow Nico, vielen vielen Dank. Funktioniert perfekt, sogar mit den JPG-Bildern.

Ich habe nun versucht deinen Algorithmus umzukehren, um meine Bilder so zu verschlüsseln. Habe also umgekehrt versucht XOR auszuführen wenn der Header nicht CF10 ist. Leider klappt dies nicht. Kannst du mir da vlt. noch einmal aushelfen bitte?

Grüße

[guidok]

Zitat:

Zitat von The Riddler

Wow Nico, vielen vielen Dank. Funktioniert perfekt, sogar mit den JPG-Bildern.

Ich habe nun versucht deinen Algorithmus umzukehren, um meine Bilder so zu verschlüsseln. Habe also umgekehrt versucht XOR auszuführen wenn der Header nicht CF10 ist. Leider klappt dies nicht. Kannst du mir da vlt. noch einmal aushelfen bitte?

Du musst nach dem XOR auch den Header CF10 vorne anhängen.

[The Riddler]

Eben da hakts bei mir. Problem ist, dass ich ja Stream.CopyFrom nicht verwenden kann. Oder steh ich nur auf dem Schlauch?

[nicodex]

Delphi-Quellcode:

const
  FileName = 'D:\Temp\karten.decoded.png';
var
  Source: TFileStream;
  Header: array [0..3] of AnsiChar;
  Stream: TMemoryStream;
  Buffer: PByte;
  Index: Integer;
begin
  Source := TFileStream.Create(FileName, fmOpenRead);
  try
    Stream := TMemoryStream.Create();
    try
      Header := 'CF10';
      Stream.WriteBuffer(Header, SizeOf(Header));
      if Source.Size > 0 then
      begin
        Source.Position := 0;
        Stream.CopyFrom(Source, Source.Size);
        Buffer := Stream.Memory;
        Inc(Buffer, SizeOf(Header));
        for Index := 1 to Stream.Size - SizeOf(Header) do
        begin
          Buffer^ := Buffer^ xor $8D;
          Inc(Buffer);
        end;
      end;
      Stream.SaveToFile(ExtractFilePath(FileName) + ChangeFileExt(
        StringReplace(ExtractFileName(FileName), '.decoded', '',
        [rfReplaceAll, rfIgnoreCase]), '.encoded') + ExtractFileExt(FileName));
    finally
      Stream.Free();
    end;
  finally
    Source.Free();
  end;
end;

[The Riddler]

Ok danke, dass funktioniert soweit. Leider jedoch, akzeptiert das Fremdprogramm meine verschlüsselten Bilder noch nicht. Ich halte eine Fehlermeldung, obwohl die ersten Bytes meiner und der Original-Dateien gleich sind: 43 46 31 30 04 DD C3 CA 80 87 97 87 8D 8D 8D 80 C4 C5 C9 DF 8D 8D

Leider habe ich keine Ahnung wieso das Programm meine nicht als originale erkennt. :?

[nicodex]

Dekodiere eine Originaldatei, kodiere sie wieder und mache dann einen Binärvergleich (fc /b a.dat b.dat).
Wenn das funktioniert, dann liegt das Geheimnis woanders (in den Daten selbst).

[The Riddler]

Zitat:

Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Dokumente und Einstellungen\Pierre\Desktop>fc /b cardsa.png cardsb.png
Vergleichen der Dateien cardsa.png und CARDSB.PNG
FC: Keine Unterschiede gefunden

:cry:

[Klaus01]

Du hast doch bestimmt mehrere Bilddateien die "verschlüsselt" sind.
Haben alle die Bytefolge CF10 am Anfang der Datei stehen, oder variert die
Bytefolge.

Könnte es eine Größenangabe sein: CF10 -> 53008 Bytes ?(nur eine Vermutung)

Grüße
Klaus

[The Riddler]

Ja alle verschlüsselten haben CF10 am Anfang, denn sonst könnte ich ja die anderen Dateien mittels Nicos Code nicht dekodieren. Ich hoffe nur nicht, dass Dateigrößen o.a. abgefragt werden. :?

[nicodex]

Zitat:

Zitat von The Riddler

Zitat:

FC: Keine Unterschiede gefunden

:cry:

Dann gehe ich davon aus, dass die Anwendung das Format deiner Daten nicht mag oder sich an einer anderen Stelle weitere Definitionen/Attribute (Größen, Prüfsummen, ...) befinden.

[The Riddler]

Hi,

ich habe mal Filemon angeschmissen und geguckt, worauf das Programm so alles zugreift. Und siehe da, es kam eine Datei zum Vorschein, filedat.dat. Diese Datei mit dem Editor angeguckt, zeigt mir "CF10" und wirres Zeug an. Ok denke ich mir, jagst du es mal durch Nicos Algorithmus. Und tatsächlich, war auch diese Datei so verschlüsselt. In diesem entschlüsselten Text finden sich alle Dateinamen und vermutlich Informationen, wodurch mein Austauschen anscheinend schief läuft. Die Dateinamen stehen im Klartext drin, die weiteren Infos sind allerdings weiterhin wirres Zeug. Auszug:

Zitat:

..ˆr#.ÑÿDD_.Ì7.“.....+..cards/karten.png.Ɖ..bQ*1;.³.û^5ö.?..... .

In HEX: 2E 00 88 72 23 1A D1 FF 44 44 5F 09 CC 37 7F 93 16 17 02 0B 0C 2B und so weiter

Kann damit jemand etwas anfangen?

[jfheins]

Es könnte ne MD% Checksumme sein. Die hat 128 bit/16 Bytes das könnte hinkommen. (Du hättest dann 16 Buchstaben bei 1Byte/Buchstabe)

Oder evtl. ne Größenangabe ... ist das ein genauer Auszug oder hast du da zwischendrin was gekürzt?

[The Riddler]

Genauer kurzer Auszug aus der Datei.

[The Riddler]

Falls es irgendwie hilft: Es gibt ein kostenpflichtiges Programm, dass ebenfalls das macht was ich möchte. Mit diesem konnte ich die eine PNG Datei mal ersetzen. In der *.dat-Datei wurden durch das Programm nun folgende Änderungen gemacht. Was genau das ist bzw. wie ich die *.dat so ändern kann das meine Dateien geschluckt werden weiß ich leider noch nicht.

Zitat:

C:\Dokumente und Einstellungen\Pierre>cd Desktop

C:\Dokumente und Einstellungen\Pierre\Desktop>fc /b chili1.dat chili2.dat
Vergleichen der Dateien chili1.dat und CHILI2.DAT
0000720D: B2 EF
0000720E: A4 DC
0000720F: 30 2D
00007210: B8 BC
00007211: F6 B6
00007212: 35 F2
00007213: 8C 3E
00007214: 07 8C
00007215: E8 76
00007216: 34 D3
00007217: 99 B8
00007218: 03 7B
00007219: F8 9E
0000721A: 3D B2
0000721B: EB 00
0000721C: 02 9A

[nicodex]

Das sind einfach zu wenig Daten/Informationen, um irgendetwas damit anzufangen (außer zu raten).
Da dein Diff 16 aufeinanderfolgende Bytes Unterschied liefert, könnte jfheins recht haben (MD5).

[The Riddler]

Und jfheins hatte Recht! Der MD5 String des Bildes steht in der *.dat Datei drin, siehe Anhang. Vielen Dank.

Nun gibt es eigentlich kein großes Problem mehr, jedenfalls von theoretischer Sicht aus für mich. Mein Programm holt sich den MD5 Hash der Original-Datei, holt sich dann den MD5 Hash meiner neuen Datei. *.dat Datei öffnen und alten Hash durch neuen Hash ersetzen. Speichern und fertig, oder?

Nur leider... hakts an der Umsetzung. Strings in Dateien könnt ich ja vlt. noch grad so ersetzen, ob wie soll ich Hex-Werte ersetzen? :gruebel:

[Klaus01]

Hallo,

wie öffnest Du die Datei?

..mit eine StringList sollte es Probleme geben "binäre" Werte einzutragen.
Bei einem TFileStream würde ich da keine Probleme sehen.

Womit generierst Du Deinen MD5 Wert?
Gibt es da auch eine Möglichkeit der Wert als 16 Byte zu bekommen
oder wird der Wert nur in der Hexdarstellung angeboten?

Grüße
Klaus

[The Riddler]

Hallo Klaus,

im Moment öffne ich die Datei noch mit einem handelsüblichen HEX-Editor. Aus Delphi heraus dann sicherlich mit einem File- oder Memorystream.

Gut das du gefragt hast, meine md5.pas ist weg und auf http://www.fichtner.net/delphi/md5.delphi.phtml gibt es sie nicht mehr zum Download. Hat die zufällig noch jemand damit ich MD5 Hashes von meinen Dateien generieren kann?

[jfheins]

Hallo, versuche doch mal diesen Code, um die MD5-Hashs zu ersetzen:

Delphi-Quellcode:

type
  MD5Digest: Array [0..15] of byte

type 
  MD5Digest: Array [0..15] of byte 

procedure Replace(Stream: TStream; oldmd5, newmd5: MD5Digest) 
var 
  i: Integer; 
  pos: Int64; 
  pattern: MD5Digest; 
begin 
  for i = 0 to 15 do 
  begin 
    oldmd5[i] := oldmd5[i] xor $8D; 
    newmd5[i] := newmd5[i] xor $8D; 
  end; 
  
  Stream.Position := 0;

  while (Stream.size - Stream.Position) >= sizeof(MD5Digest) do 
  begin 
    pos := Stream.Position; 
  
    Stream.readbuffer(pattern, sizeof(MD5Digest)); 
    
    Stream.position = pos + 1; // Wir müssen byteweise vorgehen 
    
    if (comparemem(@pattern[0], @oldmd5[0], sizeof(MD5Digest)) = 0) then 
    begin 
      Stream.position = pos; 
      Stream.writeBuffer(newmd5, sizeof(MD5Digest)); 
      break; 
    end; 
  end; 
end; 

procedure ReplaceFile(FileName: String; old, new: Array of MD5Digest) 
var 
  fs: TFileStream; 
  mem: TmemoryStream; 
  i: Integer; 
begin 

  mem := TMemoryStream.Create(); 

  fs := TFileStream.Create(FileName, fmOpenReadWrite or fmShareExclusive); 
  try 
    mem.CopyFrom(fs, 0); 
    
    for i = low(old) to high(old) do 
    begin 
      Replace(mem, old[i], new[i]); 
    end; 
    
    fs.CopyFrom(mem, 0); 
    
  finally 
    fs.Free; 
    mem.Free; 
  end; 
end;

So ähnlich zumndest ;)

[Klaus01]

Hallo,

anbei die md5.pas die ich ab und an verwende.
Den binären MD5 Wert erhälst Du wenn Du diese Funktion

Delphi-Quellcode:

function MD5File(N: string): MD5Digest;

aufrufst.
MD5Digest ist ein Array[0..15] of Byte;

Grüße
Klaus

[The Riddler]

Danke Klaus, genau die hatte ich schon per Google gefunden. :-)

Aber mein ganzer Dank geht an jfheins, durch dessen Hilfe es jetzt geht (+ ICQ Hilfen)! :party: Du bist mein Held des Monats. :)

P.S.: Meld dich mal vor Weihnachten bei mir, ich schenk dir 25€ zu Weihnachten. Nicht das noch jemand auf die Idee kommt das hier wäre Schwarzarbeit. :mrgreen:

[sunnymtx]

Hallo Leute,

Ich hole mal diesen alten Thread nach oben, weil good old Google ihn bei mir gefunden hat und ich anders nicht weiterkomme.
Das Problem hat nix mit Delphi zu tun, aber ihr scheint mir alle tolle Experten zu sein!
Ich habe von einer Freeware Designsoftware ein Hintergrundbild, das ich dringend für ein anderes Projekt benötige. Allerdings hat der Hersteller wohl ein paar Bytes in der Datei verändert, sie verschlüsselt oder irgendwie gepackt. Wenn man sich das im HEX-Editor anschaut sieht man neben kryptischen Zeichen (wohl den Bildinformationen) nur einen Abschnitt über Adobe XMP Core 4.1, Tiff-Datei und Dimensionen des Bildes. Kommt ihr darauf, was mit der Datei los is? Das wäre gigantisch!

Hab sie hier hochgeladen:
http://www.megaupload.com/?d=4N7OYDXR
Und hier is der Abschnitt mit Hex-Code:
http://img808.imageshack.us/i/hexcode.jpg/

Herzlichsten Dank!