7

假设我需要在 Powershell 中执行此操作：

    $SecurePass = Get-Content $CredPath | ConvertTo-SecureString -Key (1..16)
    [String]$CleartextPass = [Runtime.InteropServices.Marshal]::PtrToStringAuto([Runtime.InteropServices.Marshal]::SecureStringToBSTR($CredPass));

$CredPath 的内容是一个包含 ConvertFrom-SecureString -Key (1..16) 输出的文件。

如何ConvertTo-SecureString -key (1..16)在 C#/.NET 中完成该部分？

我知道如何创建一个SecureString，但我不确定应该如何处理加密。

我是使用 AES 加密每个字符，还是解密字符串然后为每个字符创建一个安全字符串？

我对密码学几乎一无所知，但根据我收集到的信息，我可能只想使用 C# 调用 Powershell 命令。

作为参考，我在这里找到了关于 AES 加密/解密的类似帖子： 在 C# 中使用 AES 加密

更新

我已经查看了 Keith 发布的链接，但我面临着更多的未知数。DecryptStringFromBytes_Aes 采用三个参数：

static string DecryptStringFromBytes_Aes(byte[] cipherText, byte[] Key, byte[] IV)

第一个参数是一个字节数组，表示加密文本。这里的问题是，字符串在字节数组中应该如何表示？它应该用编码还是不用编码来表示？

byte[] ciphertext = Encoding.ASCII.GetBytes(encrypted_text);
byte[] ciphertext = Encoding.UTF8.GetBytes(encrypted_text);
byte[] ciphertext = Encoding.Unicode.GetBytes(encrypted_text);    

byte[] ciphertext = new byte[encrypted_password.Length * sizeof(char)];
System.Buffer.BlockCopy(encrypted_password.ToCharArray(), 0, text, 0, text.Length);

第二个字节数组是键，应该只是一个整数数组：

byte[] key = { 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16 };

第三个字节数组是一个“初始化向量”——看起来 Aes.Create() 调用会随机为 IV 生成一个 byte[]。环顾四周，我发现我可能需要使用相同的 IV。由于 ConvertFrom-SecureString 和 ConvertTo-SecureString 能够简单地使用密钥进行加密/解密，因此我假设 IV[] 可以是随机的 - 或者 - 具有静态定义。

我还没有找到一个成功的组合，但我会继续努力。

4

5 回答 5

12

我知道这是一个旧帖子。我发布这个是为了完整性和后代，因为我在 MSDN 或 stackoverflow 上找不到完整的答案。它会在这里，以防我需要再次这样做。

它是具有 AES 加密的 powershell 的 ConvertTo-SecureString 的 C# 实现（通过使用 -key 选项打开）。我将把它留给练习来编写 ConvertFrom-SecureString 的 C# 实现。

# forward direction
[securestring] $someSecureString = read-host -assecurestring
[string] $psProtectedString = ConvertFrom-SecureString -key (1..16) -SecureString $someSecureString
# reverse direction
$back = ConvertTo-SecureString -string $psProtectedString -key (1..16)

我的工作是结合答案并重新排列 user2748365 的答案，使其更具可读性并添加教育评论！我还解决了获取子字符串的问题——在这篇文章的时候，他的代码在 strArray 中只有两个元素。

using System.IO;
using System.Text;
using System.Runtime.InteropServices;
using System.Security;
using System.Security.Cryptography;
using System.Globalization;

// psProtectedString - this is the output from
//   powershell> $psProtectedString = ConvertFrom-SecureString -SecureString $aSecureString -key (1..16)
// key - make sure you add size checking 
// notes: this will throw an cryptographic invalid padding exception if it cannot decrypt correctly (wrong key)
public static SecureString ConvertToSecureString(string psProtectedString, byte[] key)
{
    // '|' is indeed the separater
    byte[] asBytes = Convert.FromBase64String( psProtectedString );
    string[] strArray = Encoding.Unicode.GetString(asBytes).Split(new[] { '|' });

    if (strArray.Length != 3) throw new InvalidDataException("input had incorrect format");

    // strArray[0] is a static/magic header or signature (different passwords produce
    //    the same header)  It unused in our case, looks like 16 bytes as hex-string
    // you know strArray[1] is a base64 string by the '=' at the end
    //    the IV is shorter than the body, and you can verify that it is the IV, 
    //    because it is exactly 16bytes=128bits and it decrypts the password correctly
    // you know strArray[2] is a hex-string because it is [0-9a-f]
    byte[] magicHeader = HexStringToByteArray(encrypted.Substring(0, 32));
    byte[] rgbIV = Convert.FromBase64String(strArray[1]);
    byte[] cipherBytes = HexStringToByteArray(strArray[2]);

    // setup the decrypter
    SecureString str = new SecureString();
    SymmetricAlgorithm algorithm = SymmetricAlgorithm.Create();
    ICryptoTransform transform = algorithm.CreateDecryptor(key, rgbIV);
    using (var stream = new CryptoStream(new MemoryStream(cipherBytes), transform, CryptoStreamMode.Read))
    {
        // using this silly loop format to loop one char at a time
        // so we never store the entire password naked in memory
        int numRed = 0;
        byte[] buffer = new byte[2]; // two bytes per unicode char
        while( (numRed = stream.Read(buffer, 0, buffer.Length)) > 0 )
        {
            str.AppendChar(Encoding.Unicode.GetString(buffer).ToCharArray()[0]);
        }
    }

    //
    // non-production code
    // recover the SecureString; just to check
    // from http://stackoverflow.com/questions/818704/how-to-convert-securestring-to-system-string
    //
    IntPtr valuePtr = IntPtr.Zero;
    string secureStringValue = "";
    try
    {
        // get the string back
        valuePtr = Marshal.SecureStringToGlobalAllocUnicode(str);
        secureStringValue = Marshal.PtrToStringUni(valuePtr);
    }
    finally
    {
        Marshal.ZeroFreeGlobalAllocUnicode(valuePtr);
    }

    return str;
}
// from http://stackoverflow.com/questions/311165/how-do-you-convert-byte-array-to-hexadecimal-string-and-vice-versa
public static byte[] HexStringToByteArray(String hex)
{
    int NumberChars = hex.Length;
    byte[] bytes = new byte[NumberChars / 2];
    for (int i = 0; i < NumberChars; i += 2) bytes[i / 2] = Convert.ToByte(hex.Substring(i, 2), 16);

    return bytes;
}
public static SecureString DecryptPassword( string psPasswordFile, byte[] key )
{
    if( ! File.Exists(psPasswordFile)) throw new ArgumentException("file does not exist: " + psPasswordFile);

    string formattedCipherText = File.ReadAllText( psPasswordFile );

    return ConvertToSecureString(formattedCipherText, key);
}
于 2015-06-10T13:39:30.913 回答
3

根据 ConvertFrom-SecureString 上的文档，使用了 AES 加密算法：

如果使用 Key 或 SecureKey 参数指定加密密钥，则使用高级加密标准 (AES) 加密算法。指定密钥的长度必须为 128、192 或 256 位，因为这些是 AES 加密算法支持的密钥长度。如果未指定密钥，则使用 Windows 数据保护 API (DPAPI) 对标准字符串表示进行加密。

查看MSDN 文档中的 DecryptStringFromBytes_Aes 示例。

顺便说一句，一个简单的选择是使用 C# 中的 PowerShell 引擎来执行ConvertTo-SecureStringcmdlet 来完成这项工作。否则，初始化向量似乎嵌入在 ConvertFrom-SecureString 输出中的某个位置，可能不容易提取，也可能不容易提取。

于 2012-11-29T22:32:04.873 回答
1

如何在 C#/.NET 中完成 ConvertTo-SecureString -key (1..16) 部分？

请看以下代码：

    private static SecureString ConvertToSecureString(string encrypted, string header, byte[] key)
    {
        string[] strArray = Encoding.Unicode.GetString(Convert.FromBase64String(encrypted.Substring(header.Length, encrypted.Length - header.Length))).Split(new[] {'|'});
        SymmetricAlgorithm algorithm = SymmetricAlgorithm.Create();
        int num2 = strArray[2].Length/2;
        var bytes = new byte[num2];
        for (int i = 0; i < num2; i++)
            bytes[i] = byte.Parse(strArray[2].Substring(2*i, 2), NumberStyles.AllowHexSpecifier, CultureInfo.InvariantCulture);
        ICryptoTransform transform = algorithm.CreateDecryptor(key, Convert.FromBase64String(strArray[1]));
        using (var stream = new CryptoStream(new MemoryStream(bytes), transform, CryptoStreamMode.Read))
        {
            var buffer = new byte[bytes.Length];
            int num = stream.Read(buffer, 0, buffer.Length);
            var data = new byte[num];
            for (int i = 0; i < num; i++) data[i] = buffer[i];
            var str = new SecureString();
            for (int j = 0; j < data.Length/2; j++) str.AppendChar((char) ((data[(2*j) + 1]*0x100) + data[2*j]));
            return str;
        }
    }

例子：

    encrypted = "76492d1116743f0423413b16050a5345MgB8ADcAbgBiAGoAVQBCAFIANABNADgAYwBSAEoAQQA1AGQAZgAvAHYAYwAvAHcAPQA9AHwAZAAzADQAYwBhADYAOQAxAGIAZgA2ADgAZgA0AGMANwBjADQAYwBiADkAZgA1ADgAZgBiAGQAMwA3AGQAZgAzAA==";
    header = "76492d1116743f0423413b16050a5345";

如果要获取解密字符，请查看方法中的数据。

于 2013-09-04T20:43:26.733 回答
0

我发现最简单最简单的方法是直接从 C# 调用ConvertTo-SecureStringPowerShell 命令。这样，实现没有区别，并且输出与直接从 PowerShell 调用时的输出完全相同。

    string encryptedPassword = RunPowerShellCommand("\"" 
            + password 
            + "\" | ConvertTo-SecureString -AsPlainText -Force | ConvertFrom-SecureString", null);

    public static string RunPowerShellCommand(string command, 
        Dictionary<string, object> parameters)
    {
        using (PowerShell powerShellInstance = PowerShell.Create())
        {
            // Set up the running of the script
            powerShellInstance.AddScript(command);

            // Add the parameters
            if (parameters != null)
            {
                foreach (var parameter in parameters)
                {
                    powerShellInstance.AddParameter(parameter.Key, parameter.Value);
                }
            }

            // Run the command
            Collection<PSObject> psOutput = powerShellInstance.Invoke();

            StringBuilder stringBuilder = new StringBuilder();

            if (powerShellInstance.Streams.Error.Count > 0)
            {
                foreach (var errorMessage in powerShellInstance.Streams.Error)
                {
                    if (errorMessage != null)
                    {
                        throw new InvalidOperationException(errorMessage.ToString());
                    }
                }
            }

            foreach (var outputLine in psOutput)
            {
                if (outputLine != null)
                {
                    stringBuilder.Append(outputLine);
                }
            }

            return stringBuilder.ToString();
        }
    }
于 2015-09-07T17:12:45.647 回答
0

加上程的回答 - 我发现我必须改变：

byte[] magicHeader = HexStringToByteArray(encrypted.Substring(0, 32));

到

byte[] magicHeader = HexStringToByteArray(psProtectedString.Substring(0, 32));

和

SymmetricAlgorithm algorithm = SymmetricAlgorithm.Create();

到

SymmetricAlgorithm algorithm = Aes.Create();

但它在其他方面工作得很好。

于 2019-02-22T17:57:08.477 回答