pdf head

【确定方案】     

 

    一个正常的PDF文件，二进制结构一定是以0x46445025(即ASCII的“%PDF”)做为开头标志。这个文件的开头以0x71736712开始。两者比较，显然是一种异或转换，通过计算，两者相差(异或)0x37。观察本PDF文件的尾部，发现同样做了篡改。

    于是，在WINHEX中选中文件所有内容，对选中块以0x37做字节异或(xor)：

 

 

    保存出来后，打开，文件正常。

    接下来对其他文件做分析，发现篡改的算法均是全部文件对某个值xor，但此值不确定，按字节概率计算，应该有256种可能，加上文件数量及类型众多，显然不能手动进行修正。需要分析其xor加数的生成规律。

 

 

https://blog.csdn.net/weixin_33863087/article/details/89936413