加密算法识别

何时使用 / 何时不用

• 用：拿到密文（流量或数据 blob）不确定是什么算法时
• 用：样本里有加密实现，需要在反编译前先锁定算法范围
• 用：怀疑自定义加密（XOR/ROL/ROR 变换）而非标准算法
• 不用：算法已知（直接用 [[re-crypto-keys]] 找密钥、[[re-crypto-decrypt]] 解密）
• 不用：标准库 API 调用清晰可见（CryptEncrypt/OpenSSL 符号可直接查——见 [[re-crypto-keys]] 导入表线索）
• 不用：纯静态就能判定是明文（[[re-triage]] 熵低/可读字符串多）

工具准备

所有工具先验证再使用。本技能以静态/离线分析为主，可免沙箱；动态确认环节（Frida）只针对已运行样本（默认沙箱，[[re-analyze/platform-tips]] 最高原则）。

python3 —— 指纹与熵分析脚本

• 安装与验证见 [[re-proto-rev]] 工具准备（python3）