文章总结： 本文概述数据传输、存储与混淆的核心机制，涵盖JSON等格式、Base64等算法及密码存储差异。强调识别加密方式对渗透测试至关重要，是构造Payload的基础。建议从业者掌握加密识别、解密工具及逆向分析技能，以提升代码审计与漏洞挖掘水平。 综合评分： 78 文章分类： 渗透测试,代码审计,逆向分析,二进制安全

网络安全中的数据传输、存储与混淆：从格式到算法的核心要点

原创

萧瑶 萧瑶

Alfadi组织

2026年2月4日 12:48 江苏

理解数据传输、加密与存储方式，是开展安全测试、代码审计与渗透后利用的必备基础。

一、数据传输格式：不只是 JSON 与 XML

在前后端交互、API 调用、文件上传等场景中，数据需要以特定格式进行封装与传输。常见格式包括：

· JSON：轻量、易读，目前绝大多数 RESTful API 的首选。

· XML：标签式结构化数据，常见于 SOAP 协议或传统企业接口。

· WebSockets：全双工通信协议，适用于实时聊天、在线游戏等高频交互场景（如豆包、钉钉等应用）。

· HTML：不仅用于网页呈现，也常作为数据载体在服务端渲染（SSR）中传递。

· 二进制：如图片、音频、可执行文件等，传输效率高，但不易直接阅读。

· 自定义格式：部分系统会设计私有协议来封装数据，通常需要逆向或文档才能解析。

安全影响：在渗透测试尤其是后渗透阶段，必须清楚目标系统使用的传输格式，才能正确构造 payload、拦截或篡改数据流，实现持久化控制或横向移动。

二、传输数据的编码与算法

数据在传输前常经过编码或摘要处理，以满足安全、兼容或性能需求：

· MD5：虽已不推荐用于密码存储，但仍广泛用于文件校验或临时签名。

· Base64：将二进制数据编码为 ASCII 字符，常用于在文本协议（如 HTTP、JSON）中嵌入二进制内容。

· 自定义算法：企业或开发者自行设计的加密、编码或混淆方法，逆向难度较大。

安全影响：在渗透测试中，若请求或响应数据被编码或加密，必须识别算法并实现统一加解密，才能进行有效的数据包重放、篡改或漏洞利用。

三、密码存储机制：不同平台与数据库的差异

系统存储用户密码时，通常会进行不可逆哈希或可逆加密：

· 博客/论坛系统：如 ZBlog、Discuz 等常见 CMS，各有其哈希算法（加盐、多次迭代等）。

· 操作系统：

  · Windows 通常使用 NTLM Hash 或 LM Hash（较旧）。

  · Linux 将密码哈希值存储于 /etc/shadow，常用算法如 SHA-512。

· 数据库：

  · MSSQL 可进行密码哈希（如 PWDENCRYPT）或对称加密。

  · MySQL 常用 mysql_native_password 或 caching_sha2_password 算法。

安全影响：在获取到密码哈希或加密值后，需识别其算法，才能进行离线破解或解密，进一步登录系统、数据库或后台。

四、代码混淆与保护

为防止代码被轻易阅读或逆向，开发者常使用混淆技术：

· PHP & JS 混淆：变量名缩短、控制流扁平化、字符串编码等，增加代码阅读与审计难度。

· DLL & JAR 保护：

  · DLL（Windows 动态库）可通过加壳、代码虚拟化进行保护。

  · JAR（Java 归档）可使用混淆工具（如 ProGuard）或加密 Class 文件。

安全影响：在代码审计或逆向工程中，必须通过静态/动态分析、调试、去混淆等手段，还原代码逻辑，发现潜在漏洞或后门。

需要进一步学习的两个方向

根据以上内容，若想在安全测试与代码审计中深入，建议加强以下能力：

1. 加密算法的识别与解密

· 熟悉常见哈希、对称加密、非对称加密算法的特征与识别方法。

· 掌握常用解密、爆破工具（如 John the Ripper、hashcat）与技巧。

· 了解典型场景下的加密实现，如 JWT、ASP.NET ViewState、Spring Security 加密方式等。

2. 自定义算法的识别与逆向

· 学习静态分析工具（IDA Pro、Ghidra、dnSpy）与动态调试方法。

· 掌握常见混淆与保护技术的识别与还原思路。

· 通过实战 CTF 逆向题或漏洞分析案例，提升算法逆向能力。

理解数据如何传、如何编、如何存、如何藏，是安全从业者从“利用已知”走向“挖掘未知”的关键一步。无论是渗透测试还是代码审计，只有深入这些基础层面，才能真正做到“知己知彼，百战不殆”。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：Alfadi组织 萧瑶 萧瑶《网络安全中的数据传输、存储与混淆：从格式到算法的核心要点》