PDF格式全文下载请点击：
http://www.purpleroc.com/html/382547.html

原文来自Tracy'Blog--【校园网那些事（八）】

Chapter 5——校验码-揭秘MD5算法

     上章节中大概的分析了下我们所接收到的数据包。并单步跟踪了程序处理数据包的整个流程，之后我们发现，程序大概做了如下的事情：

     1、取第一位判定数据包功能类型。（以下所说的数据包，皆是指解密后的数据包）

     2、取第二位得到数据包总长度。

     3、取每个功能代码位（即我们上章节中分析出来的08、09、0A、0B、0C、0D），按相应的功能代码对其后跟随的内容进行处理。

          A、对08，跳转到时间判定处，对比数据包中包含的时间与拨号上网时间。若不同，则丢弃数据包。

          B、对其他的功能代码位大致都是，取其后跟随的字符减去2得到内容长度。再利用长度和起始地址将功能位对应的内容复制到内存其他位置，供程序调用。（如，将要弹出的消息保存到某一地址，调用时，直接先push此地址。）

     那么，所有的都分析完了后，我们发现，程序并没有对数据包的第3-18位进行任何操作。难道，这16个字符是没有用的？等等，16个字符，十六个字符你能想到哪些呢？

     嗯，反正，我的第一反应就是MD5（可能是早年拿站留下的阴影吧，注入后得到的大多是16位）。为了证实我们的想法，用peid对已脱壳的程序用算法分析插件进行分析，结果如下。



     那就是说，我们又猜对了，的确是MD5，但是，问题又来了，他是对什么内容进行的哈希呢？对整个数据包？但这16个字符原本就是在数据包里面的啊。对数据包中的某一个部分？还有就是，这16个字符是用来干嘛的呢？

     那么，我们还是首先来了解下MD5吧。

[注意]看雪招聘，专注安全领域的专业人才平台！