拿到采购来的财务系统源码，兴冲冲准备部署，结果打开配置文件夹一看，连接数据库的字符串全是乱码加密的，整个人当场就懵了。
我之前遇到过一个做项目外包的朋友，就踩过这个坑。供应商交付源码的时候故意把核心配置加密，后续改个配置还要收钱，真的太恶心了。
你说供应商本来应该交付完整可部署的源码，结果搞这么一手，说白了不就是留后手吗？要么后续收维护费，真出了问题你自己还动不了。
今天就说点实际的操作，不是教你搞破解，就是拿到加密配置之后，自己怎么解密验证，把主动权拿在自己手里。
既然加密了，源码里肯定有解密的逻辑啊，不然程序自己怎么读取配置。
别上来就找乱七八糟的解密工具，先翻源码里读取配置文件的地方。一般这种财务系统，都是用自定义的加密类来处理的，不会用太复杂的非对称加密，不然程序启动慢，没人这么干。
你搜搜代码里关键字，比如Configuration、Config、Decrypt、解密这些，随便找，肯定能找到处理加密配置的那段代码。
我之前帮朋友看一个.NET写的财务系统，加密逻辑就放在一个叫ConfigHelper的类里，整个解密方法也就不到20行代码，就是用了个固定密钥做对称加密，甚至密钥还是硬编码写在类里面的。
你说这种加密，那不就是防小白吗？稍微翻两行代码就能找到密钥和解密逻辑。
要是Java写的系统，一般会放在PropertiesLoader或者CipherUtils这种工具类里，搜一下getConnection或者jdbc，顺着数据库连接对象创建的逻辑往上找，很快就能找到解密连接串的地方。
找到解密方法了就简单了，直接把加密的连接串丢进去跑一遍不就出结果了？
如果是Web项目，你其实可以直接加个测试接口，启动项目之后把加密串传进去，直接把解密结果返回出来看。我就这么干过，比单独拉出来写解密项目快多了。
举个例子，我之前遇到的那个情况，加密逻辑是把连接串转成字节数组之后，用密钥每个字节做异或运算，然后转Base64编码。那解密就是反过来，先Base64解码，再用同一个密钥异或回去，直接就得到明文了。
千万注意，拿到解密结果之后先别急着用，先验证对不对。
怎么验证？你拿解密出来的连接串，用自己本地的数据库工具连一下不就行了？比如MySQL用Navicat，SQL Server用SSMS，输入地址、端口、账号密码，点一下连接，能连上就是对的，连不上就说明解密过程哪里错了，再回去找问题。
我有个朋友之前解密出来，连接串里的密码多了一个空格，折腾了半小时才发现，就是解密的时候字节处理错了，所以验证这一步真的不能少。
还有一种情况，有些供应商会把密钥拆分在好几个地方，比如一半写在配置类里，一半写在启动类里，你找的时候漏了一部分，解密出来自然不对。这种时候你就顺着程序启动流程走一遍，打个断点看程序运行的时候，解密出来的连接串是什么样的，不就一目了然了？
也不是所有加密都这么容易，有些供应商会用硬件加密或者把加密逻辑写在编译好的dll、jar包里，不给你源码，这种就麻烦一点。
据我了解，这种情况其实也不用慌，程序启动的时候肯定会把解密后的连接串存在内存里啊，你直接挂个调试工具去内存里读不就行了？
比如Java项目，可以用Arthas去断点勾一下获取连接的方法，方法入参或者返回值里肯定有明文的连接串，直接打印出来就好了。
.NET项目就更简单了，用dnSpy附加到进程上，断点打到解密方法的返回处，直接就能看到结果。
我记得之前看到过一个数据，说八成以上的源码配置加密，都是这种"防外不防内"的伪加密，只要你能拿到完整可运行的程序，就一定能拿到明文的连接串。
当然了，如果供应商压根没给你完整的程序，只给了你加密的配置，还不给你对应解密逻辑，那这个事儿本质上就是供应商违约了，你完全可以按照采购合同去找对方维权，这个是另外一回事了。
解密出来连接串，除了刚才说的验证能不能连上数据库，还要检查几个点。
第一个是检查连接串里的数据库地址是不是你现在要用的，很多供应商给你源码用的是他们自己本地测试的数据库地址，你直接拿去用肯定连不上，就算解密对了也不行，要改成你自己部署的地址。
第二个是验证数据库里的数据对不对，你连上之后进去看看，有没有预设的测试数据，有没有对应财务系统需要的表结构，要是表都缺几个，那说明源码给的都不全，别忙着上线，赶紧找供应商要完整的。
别小看这一步，我见过不少项目上线前才发现，源码里的数据库脚本是旧版本的，好多新功能的表都没有，折腾好几天才补全。
第三个就是把解密后的配置换成你自己的密钥重新加密，或者干脆改成明文存在你自己的配置中心里，毕竟你是买的源码，后续自己维护，总不能一直用供应商原来的加密方式，万一人家密钥泄露了，你的数据库不就危险了？
其实说到底，采购源码的时候，合同里就应该写清楚，要求供应商交付完整可部署、所有配置都可修改的源码，别等拿到手了才过来找解密的方法，提前约束好比什么都强。
但真遇到了加密配置的情况也别慌，按照这个思路捋一遍，绝大多数情况都能自己搞定，不用再给供应商交额外的维护费，你说对吧？
