十六进制编辑器 - Peplink .diag 文件已更改 - 它们仍然可以打开吗？

Question

早上好，我有一个有点晦涩的问题，我希望比我更有知识的人可以分享一些见解并帮助我前进。

我的最终目标是能够打开来自 Peplink 蜂窝路由器的 .diag 文件以进行诊断。我花了很多时间与他们合作，并且必须始终将文件发送到 peplink 以征求他们的意见，因为我无法自己查看它们。

在研究这个课题时。我发现了这个旧线程.. https://serverfault.com/questions/303687/how-do-i-open-a-peplink-routers-diagnostic-report

将此线程与旧 Peplink .diag 文件一起使用，我能够打开它们。

1. 我使用hexplorer打开文件我打开的所有文件都有 较旧的固件以 2D B9 3A 开头 (-1:)

2. 如果我选择所有文本并使用十六进制 32 运行 XOR，所有文件现在都以 1F 8B 08 开头

3. 从这里，我只需将文件另存为 tar.gz，然后就可以从中提取所有日志。

4. 像梦一样工作。

不幸的是，过去几年制作的.diag 文件现在完全不同了。

当我用十六进制编辑器打开所有新文件时，它们以 50 65 31 33 33 37 5F 5F (Pe1337__) 开头 我怀疑这现在是一种不同类型的文件头（也许它不再是 tar.gz 了）

我尝试过使用不同的 XOR 十六进制运算。我尝试过使用 XOR 计算器并删除某些字节，但到目前为止，我还没有找到一种方法将文件另存为可以打开的工作存档。

归根结底，我不得不承认我不了解杰克如何使用十六进制编辑器，而且我正在做一些超出我能力范围的事情。

有人对我如何打开它有想法或建议吗？

如果您认为自己可以亲自动手解决问题，我很乐意为您提供新旧 .diag 文件。

如有任何帮助，我们将不胜感激。

Answer 1

较新的诊断报告使用 AES-256-CBC 和密钥

5pE8w17hJ8806874Y312naWEdf14fqFDSp143FDSnfp134njfr

进行加密。

此密钥可以在

/usr/local/ilink/bin/dump

bash 脚本中找到。如果您使用OpenSSL进行解密，则需要将开头的

Pe1337

更改为

Salted

，以避免出现“

bad magic number

”错误。

我使用以下一行代码来解密 Unix 上的诊断报告：

$ cat diag.report | sed 's/Pe1337/Salted/' | openssl aes-256-cbc -d -md md5 -pass pass:5pE8w17hJ8806874Y312naWEdf14fqFDSp143FDSnfp134njfr > report.tar.gz

Answer 2

先生们... 关于此 PEPLINK 诊断报告...

他们再次更改了文件的开头.. 现在是 DR000001... 请...有人如何提取这个文件？ 非常感谢。