Web.config数据库字符串解密记录及批量dll逆向技巧

分析配置文件发现以下特征：

1、数据库连接字符串应该是经过（Base64编码+AES或DES等加密）算法混淆。

2、connecttionString的上级节点中没有类似Encrypt的节点名称。

说明没有使用IIS内置的加密类：

DataProtectionConfigurationProvider类RsaProtectedConfigurationProvider类

3、查看整个web.config文件，没有在发现解密密钥之类的配置节点。

提示信息：

因为IIS内置的DataProtectionConfigurationProvider类、RsaProtectedConfigurationProvider类的加密过程中使用了一个基于本机的密钥，所以会影响web应用的分发，所以可能不会使用这两个算法。所以一般开发者会使用DES等加解密算法在代码内部对配置字符串进行动态解密。

根据以上场景判断，数据库加密字符串没有使用IIS内置的加密方法，而是在程序内部使用了其他的解密方法。

解密思路：

在web源码中查找对应的解密函数和密钥，对数据进行解密。

源码文件中，bin目录下有很多的dll文件，web目录下也有很多的aspx等代码文件。

需要一种方法快速的去定位我们需要的函数对应的代码文件，而不是每个文件都进行翻阅。

因此，需要一种方式进行全局内容搜索，本示例中采用的是emeditor工具。

最重要的是，需要知道应该搜索什么关键字来筛选代码文件。

参考实例中的对象名称，选取了如下几个搜索关键字：

using System.Configuration;using System.Data.SqlClient;ConfigurationManager.ConnectionStrings["conn"].ConnectionString;

全局搜索ConnectionString，采集到如下DLL文件：

CODEbinEasy.FrameWork.dllCODEbinEntityFramework.dllCODEbinlog4net.dllCODEbinSystem.Configuration.dll:CODEbinSystem.Data.dll:CODEbinSystem.Data.Entity.dll:CODEbinSystem.dll:CODEbinSystem.Web.dll:CODEbinSystem.Web.Entity.dll:CODEbinSystem.Web.Providers.dll:CODEbinXX.Utility.dll:

开始也猜测内部使用了Des解密，因此也尝试搜索了Decrypt关键字和DESDecrypt关键字。

全局搜索DESDecrypt，采集到如下DLL文件：

CODEbinEasy.FrameWork.dll:CODEbinXX.Utility.dll:

dnSpy/dnSpy: .NET debugger and assembly editorhttps://github.com/dnSpy/dnSpy

使用dnSpy打开DLL文件，分析了好几个dll文件后，最终打开Easy.FrameWork.dll。

成功搜索到DesDecrypt关键字，搜索到解密函数和解密密钥。

提示：感觉System开头的DLL文件一般都是IIS内置的,优先级可以延后处理。

0x05 DESCryptoServiceProvider成功解密

Dll内部使用DESCryptoServiceProvider类实现解密，因此没有重写解密工具。而是直接使用[dotNET安全矩阵]知识星球的解密工具SharpofDecryptWebconfig.exe（非广告）进行解密。

分析过该工具的函数，是使用DESCryptoServiceProvider类对字符串进行解密的，因此刚好用上，也可以参考如下代码重写一个工具。

0x06 以上搜索方法的缺陷

1、 主观的优先分析某个dll本身是个缺陷。

对于不熟悉.net开发的人来讲，根本不知道写在哪个dll内，完全是靠老神棍掐指一算。如果一个关键字都没有搜索到，就得逐个dll逆向查看分析。

2、 dnSpy不会使用怎么办？

在所有dll文件中搜索，发现搜索DesDecrypt存在内容，但搜索Decrypt却没有(含字符串条件)。

真的需要每次都在dnSpy内部进行搜索吗? 有没其他的处理办法呢？

上文中开始其实查找了很久，就算只有几个dll进行分析，其实也耗费了一段时间。

之所以耗费时间较多，其实问题也很明显，主要是没有熟悉使用dnSpy这个工具。

如果能导出这些dll文件的源码，像审计java代码一样就好了。

0x07 DnSpy.exe 导出单个DLL源码

经过测试 点击文件——>导出到工程 可以逆向的源码到sln项目中。

直接在源码文件夹搜索关键字，很快就发现了解密密钥参数。

但是依然存在缺陷，逐个dll解密也是很浪费时间的事情，需要寻找使用dnSpy批量dll逆向的方案。

0x08 dnSpy.Console.exe批量导出DLL源码

问了一下文心一言AI，【使用dnSpy命令行模式进行反编译】，回答了一个错结果。

测试过程中发现，在dnSpy的目录下存在dnSpy.Console.exe程序。

批量逆向命令：

# 反编译目录中所有.NET文件并保存到C:outpathdnSpy.Console.exe -o C:outpath C:somepath

至此，解决了两个实战中.NET代码审计上的问题。

1、DESCryptoServiceProvider类加密配置文件的解密

2、实现批量dll文件的筛选和反编译。