Adobe Acrobat 9 Pro“用户口令”加密原理分析
Adobe Acrobat 9 Pro“用户口令”加密原理分析
天易love 2010-11-23
网上能搜到的关于pdf文件加密原理的文章很少，即使有也只是9.0版本以前的加密分析，由于现在大多数pdf口令破解工具对9.0以上版本加密的文件束手无策，所以这次仅对9.0版本以上的用户口令（文件打开口令）的加密简单讲一下原理，由于分析时间很短，如有错误敬请指正。
用户口令的概念，当你在Adobe Acrobat 9 Pro的“安全”菜单中选择“使用口令加密”，并在”兼容性”下拉列表框中选择“Acrobat 9.0和更高版本”，然后设置打开文件的口令，此时你设置的就是用户口令，以后如果你忘记了这个口令，你将无法打开该文件。通过以下的加密原理分析，你将会明白为什么只有穷举的办法才能破解，从而对pdf文件加密的安全性有一个更深刻的认识。一些有关pdf文件格式的内容你可以参考网上相关资料，在此不再赘述。
9.0以上版本加密的算法大致有：sha256、类aes算法；涉及Pdf文件格式中有关标记有/U、/UE、/O、/OE，这些标记具体叫什么名字我觉得与加密原理关系不大。
为了表述方便，我定义了一些符号:
encodeOfFakeAes();decodeOfFakeAes();sha256();key_expand();keyarrays_handle();
1st8BytesOfLastline_Of_U;
2nd8BytesOfLastline_Of_U;
1stTwolinesOf_U;
1st8BytesOfLastline_Of_O;
2nd8BytesOfLastline_Of_O;
1stTwolinesOf_O;
32BytesOf_UE;
32BytesOf_OE;
keyOriginal; (32字节)
keyarrays;(256字节)
decryptkeyarrays;(256字节)
globalkeyOriginal; (32字节)
decrypGlobaltkeyarrays;(256字节)
这里each line表示16字节，/U和/O都是3行、/UE、/OE都是2行，如有多出来几个字节，那是因为其中存在字节$5c的缘故,解密过程中不起作用。
decodeOfFakeAes (32BytesOf_OE)=decodeOfFakeAes (32BytesOf_UE) (条件1)
sha256(password+1st8BytesOfLastline_Of_U)= 1stTwolinesOf_U; (条件2)
sha256(passwword+1st8BytesOfLastline_Of_O+U)=1stTwolinesOf_O (条件3)
keyOriginal =sha256(password+2nd8BytesOfLastline_Of_U);
keyarrays=key_expand(keyOriginal);扩展成$100字节(256字节即16进制编译器中显示16 lines，每行16字节);
decryptkeyarrays=keyarrays_handle(keyarrays);将刚才扩展生成的keyarrays再处理一下生成最终decodeOfFakeAes()函数解密需要的密钥数组decryptkeyarrays.
globalkeyOriginal= decodeOfFakeAes (32BytesOf_OE)
或globalkeyOriginal= decodeOfFakeAes (32BytesOf_UE)
这个globalkeyOriginal经过key_expand()和keyarrays_handle();两次函数处理后得到的decrypGlobaltkeyarrays是用来解密文件内其他对象时用到的密钥数组，解密其他对象时都是用这个decrypGlobaltkeyarrays，唯一不同的是每次文件内待解密对象数据的首字节位置之前的16个字节，这是作为decodeOfFakeAes()函数的初始异或值，由于decodeOfFakeAes()每轮解密得到16字节还要与上一轮的密文异或才是最终的明文而首轮异或的对象就是这16个字节。
举个例子说明一下如上图,从中我们可以提取出:
/U:
F1 8F 68 04 9C CB 5C FC 00 6B 05 D4 4F CF EC 5B
FA 12 15 BD 78 55 40 27 2D 03 E2 5F 9B 7F 71 8A
38 D5 9B E3 BD 93 84 FD DB D7 5A 0F 08 8B DF D2
/UE:
3A D4 6E 69 1F 25 19 53 26 AC 74 7C E1 D7 1E FA
07 02 31 34 79 E9 70 86 94 5D D6 CA E2 99 8B 36
/O:
BA 8E FC D2 07 F8 C1 94 14 4E A6 F7 58 13 5A 8B
EC C8 89 0C 25 A4 AE 3C 41 49 AF 92 08 00 31 BB
64 C4 40 E5 4D B6 A0 1C 65 32 F7 FD 8D 41 67 30
/OE:
72 30 57 D0 E9 6E 46 42 A2 65 34 A0 D7 93 E3 B2
B3 02 77 26 5E 0E 18 9B 51 E4 51 CD A5 72 CE 69
注：该文件打开口令password是aaa即16进制616161
首先验证sha256(passwword+1st8BytesOfLastline_Of_U)= 1stTwolinesOf_U;
显然：Sha256(61616138D59BE3BD9384FD)的值是：
f18f68049ccb5cfc006b05d44fcfec5bfa1215bd785540272d03e25f9b7f718a
其次验证：
sha256(passwword+1st8BytesOfLastline_Of_O+U)= 1stTwolinesOf_O;
即对16进制串：616161+64C440E54DB6A01C+ F1 8F 68 04 9C CB 5C FC 00 6B 05 D4 4F CF EC 5B FA 12 15 BD 78 55 40 27 2D 03 E2 5F 9B 7F 71 8A
38 D5 9B E3 BD 93 84 FD DB D7 5A 0F 08 8B DF D2求sha256
显然值为：
ba8efcd207f8c194144ea6f758135a8becc8890c25a4ae3c4149af92080031bb
最后验证decodeOfFakeAes (32BytesOf_OE)=decodeOfFakeAes (32BytesOf_UE)：
先用公式sha256(password+2nd8BytesOfLastline_Of_U) 求keyOriginal
Sha256(616161+ DB D7 5A 0F 08 8B DF D2)=
7224c3692572ba7640c517567619d161e6e160621d1aef3b5f8a8259d13ffb3c
所以keyOriginal就是：
7224c3692572ba7640c517567619d161e6e160621d1aef3b5f8a8259d13ffb3c
接着用key_expand(keyOriginal)扩展密钥得到keyarrays；
扩展后变为256字节：
04865620 0E 00 00 00 08 00 00 00 00 00 00 00 00 00 00 00
04865630 72 24 C3 69 25 72 BA 76 40 C5 17 56 76 19 D1 61 //这2行就是keyOriginal
04865640 E6 E1 60 62 1D 1A EF 3B 5F 8A 82 59 D1 3F FB 3C
04865650 06 2B 28 57 23 59 92 21 63 9C 85 77 15 85 54 16
04865660 BF 76 40 25 A2 6C AF 1E FD E6 2D 47 2C D9 D6 7B
04865670 31 DD 09 26 12 84 9B 07 71 18 1E 70 64 9D 4A 66
04865680 FC 28 96 16 5E 44 39 08 A3 A2 14 4F 8F 7B C2 34
04865690 14 F8 11 55 06 7C 8A 52 77 64 94 22 13 F9 DE 44
048656A0 81 B1 8B 0D DF F5 B2 05 7C 57 A6 4A F3 2C 64 7E
048656B0 6D BB E2 58 6B C7 68 0A 1C A3 FC 28 0F 5A 22 6C
048656C0 F7 0F 18 5D 28 FA AA 58 54 AD 0C 12 A7 81 68 6C
048656D0 71 FE B2 04 1A 39 DA 0E 06 9A 26 26 09 C0 04 4A
048656E0 F6 B5 EA 8B DE 4F 40 D3 8A E2 4C C1 2D 63 24 AD
048656F0 AA C8 27 DC B0 F1 FD D2 B6 6B DB F4 BF AB DF BE
04865700 FE D7 74 25 20 98 34 F6 AA 7A 78 37 87 19 5C 9A
04865710 3E 82 9F CB 8E 73 62 19 38 18 B9 ED 87 B3 66 53
然后用keyarrays_handle(keyarrays)求decryptkeyarrays这个就是decodeOfFakeAes()最终解密时用的key矩阵了，具体步骤是先利用如下伪代码对除第一、二、最后一行外的所有双字依次进行处理，而后第2行与最后一行、第3行与倒数第2行互换，依次类，这样得到了key矩阵就可以进行解密运算了。
t1 = 2 * *(_DWORD *)p & 0xFEFEFEFE ^ ((*(_DWORD *)p & 0x80808080) - ((*(_DWORD *)p & 0x80808080u) >> 7)) & 0x1B1B1B1B;
t2 = 2 * t1 & 0xFEFEFEFE ^ ((t1 & 0x80808080) - ((t1 & 0x80808080) >> 7)) & 0x1B1B1B1B;
t3 = 2 * t2 & 0xFEFEFEFE ^ ((t2 & 0x80808080) - ((t2 & 0x80808080) >> 7)) & 0x1B1B1B1B;
t4 = *(_DWORD *)p ^ t3;
t5 = rol(t2 ^ t4, 16);
t6 = rol(t1 ^ t4, 8);
t4 = rol(t4, 8);
*(_DWORD *)p = t1 ^ t2 ^ t3 ^ t4 ^ t6 ^ t5;
最终的密钥矩阵：
04992EC0 0E 00 00 00 08 00 00 00 00 00 00 00 00 00 00 00
04992ED0 3E 82 9F CB 8E 73 62 19 38 18 B9 ED 87 B3 66 53
04992EE0 27 FA 5D F8 9C FF 7C 65 7F 5A 88 32 4F 07 24 34
04992EF0 51 60 F5 5D 2E 56 BF A9 9B 79 09 19 FC E7 76 18
04992F00 29 DA 71 A0 BB 05 21 9D E3 A5 F4 57 30 5D AC 06
04992F10 BF 49 0E C1 7F 36 4A F4 B5 2F B6 B0 67 9E 7F 01
04992F20 AF 50 21 63 92 DF 50 3D 58 A0 D5 CA D3 F8 58 51
04992F30 F1 89 A6 B2 C0 7F 44 35 CA 19 FC 44 D2 B1 C9 B1
04992F40 B8 72 C5 B9 3D 8F 71 5E CA 7F 85 F7 8B 58 8D 9B
04992F50 5C 2C 12 CA 31 F6 E2 87 0A 66 B8 71 18 A8 35 F5
04992F60 3E 75 FC E3 85 FD B4 E7 F7 F0 F4 A9 41 27 08 6C
049