加密数据还原

何时使用 / 何时不用

• 用：需要把密文（数据 blob / 流量 / 配置段）还原成明文
• 用：算法与密钥已知（或已由 [[re-crypto-id]] / [[re-crypto-keys]] 得出），需要批量解密
• 用：从样本里还原解密逻辑并重写为独立可复用的脚本
• 不用：算法/密钥都未知（先 [[re-crypto-id]] → [[re-crypto-keys]]）
• 不用：静态可读的明文（[[re-triage]] 熵低直接读）
• 不用：想跑原样本看输出（那是 [[re-behavior]] / [[re-sandbox]] 的活——解密脚本是为了脱离样本复现）

工具准备

所有工具先验证再使用。本技能处理的是转储/反编译产物与密文数据，运行样本环节在 [[re-sandbox]] 内（[[re-analyze/platform-tips]] 最高原则）。

python3 + pycryptodome —— 解密脚本主力