【バッチ】aiueoという文字列を数値化したい

Question

実現したいこと

https://ja.wikipedia.org/wiki/Unicode%E4%B8%80%E8%A6%A7_0000-0FFF
unicode表によると「aiueo」は「0x0061006900750065006f」となるようですが
unicodeに則らなくても何進数であろうと構いませんのでバッチで数値化を実現したいです。
また、その逆も変換できるようにしたいです。

背景

特定の数名のユーザのためにバッチファイルを作成していますが、
その中にはDBへの接続情報が書かれてしまっています。
ユーザーには秘匿したいのですが、当然メモ帳等で開かれると一発アウトです。
最初はexe化することで回避を考えていましたが、諸事情によりNGになりました。

そこでハッシュ関数を利用する方法を思いつきました。
https://qiita.com/tsumita7/items/fe8ca1a77a3678d1717b
こちらのハッシュ関数を元に、以下のようなことを実現しようとしています。

1. ユーザーにこのシステム専用のパスワードを作成してもらい尋ねる
2. 教えていただいた私はその値を数値化する
3. 数値化したパスワードをハッシュ関数に通す
4. DBの接続生情報も同様に数値化し、3の結果と排他的論理和をとる。この値をバッチファイル内にベタ書きしてユーザーに渡す
5. ユーザーはバッチ起動時に1のパスワードを入力する
6. バッチの中でそのパスワードを数値化→ハッシュ化し、その値とベタ書きされた値と排他的論理和をとると「DBの接続生情報が数値化されたもの」が出てくるのでそれを文字列に戻してDBに接続する

前提

• セキュリティの都合上windows標準に入っていない仕組みの利用は不可
  • バッチのライブラリ等もNG
  • python等ももちろんNG
  • 3rd partyツールもNG
  • powershellもNG
• ユーザーがwiresharkやメモリ解析ツールで見れば生情報普通に見れるんじゃ・・・は気にしなくていい

試したこと

ひとまずChatGTPに頼ってみましたがうまく動きませんでした。

@echo off
setlocal enabledelayedexpansion

set "input=aiueo"
set "output="

for /f "delims=" %%a in (`cmd /u /c "echo %input%"`) do set "input=%%a"

for /l %%i in (0,1,100) do (
    set "char=!input:~%%i,1!"
    if "!char!"=="" goto :done
    for /f "tokens=2 delims=:=" %%A in (`chcp`) do (
        set /a "char_code=0x!char!"
        set /a "char_code=char_code %% 0x10000"
        set "output=!output! !char_code!"
    )
)

:done
echo %output%

cmdというコマンドがないのは分かったのですがどう直せばいいのか分からず。。

Comments

[satokei]

> セキュリティの都合上windows標準に入っていない仕組みの利用は不可
> powershellもNG

なぜ、PowerShell もダメなのでしょうか？

[ikedas]

バッチファイルの機能だけでご質問のようなことを実現するのは無理です。
PowerShellなどがOKなら望みが出てきますが、そうするとユーザがそれを使って他の何かよからぬことをしかねないという懸念があるのでしょう、一般職員が使う業務用のマシンでPowerShellなどを無効にしている事業所はよくありますね。

できないことではありますが一応書いておくと、おっしゃっている手順のうち「数値化」というのは特に必要ないです。コンピュータではすべてのデータを数値として扱い、文字列も例外ではありません。ハッシュ関数の適用から後の演算が処理の本質的な内容です。

[pecmm]

自分で試したことないので分からないですが、ユーザ側バッチファイルは
①ユーザが入力したパスワードを一時ファイルに保存
②`CertUtil -hashfile <一時ファイルのパス> <好きなハッシュアルゴリズム>` でハッシュ値生成
③一時ファイルとかfor /f経由で②を取得してDB接続に使用
でいけるかもしれないですね

[ikedas]

念のために書いておきますが、

参考にしたというサイトでは、certutil を使ってハッシュを出力しています。そこは理解されていますか。
certutil は一応Windowsに付属しているツールではありますが、これも「バッチのライブラリ等」に当たりますか。
もっとも、これを使っていいとなっても、排他的論理和の処理をする方法がないので、やはりだめですね。

[otn]

何が使えるか・使えないのの説明が不明瞭です。
①「セキュリティの都合上windows標準に入っていない仕組みの利用は不可」が明瞭ですが、
③「python等ももちろんNG」④「3rd partyツールもNG」は①で不可と言明済みですので、補足ですね（書かなくても同じ意味）。
これらと違い、⑤「powershellもNG」ですが、これはWindows標準ですが何故駄目なのか？？

また、ikedasさんの確認事項にありますが、②「バッチのライブラリ等もNG」も意味不明です。
③や④と同じく①の補足なので無視しして良いのか、⑤のように①と別の追加条件の何かを言わんとしているのか？要は、
「バッチの組み込み機能だけしか使えない（exeなど起動不可）」
「バッチからWindows標準の機能は呼び出して良い」
のどちらかの確認です。前者は非常に奇異なルールなのでまず無いとは思いますが、そうだとすると②は何を言いたいのか？後者なら①があるので、②の記述は不要。

⑤ですが、もしかして「powershellの実行ポリシーの設定変更がNG」の間違いでは？
もしそうなら、（勘違いしている人が多いのですが）実行ポリシーがデフォルトのままでもPowershellスクリプトは実行可能なので、Powershellを使う方法も検討してはどうでしょうか？

あるいは、VBScriptという選択肢もあります。これはいずれ廃止という噂もありますが。OfficeもOKならVBAもあり。

[satokei]

> ユーザーがwiresharkやメモリ解析ツールで見れば生情報普通に見れるんじゃ・・・は気にしなくていい

ユーザーがバッチファイルを改ざんして接続情報を取得する可能性も気にしないですか？

何をするバッチか分からないですが、DB側に適切な権限を与えたDBユーザーを用意した方がよさそう...

Answer 1

文字列を文字コードを使って数値化するのはバッチ組み込み機能だけで可能なので、まあ、出来なくも無いので書いてみました。
難しいことは書いてないので、読めばわかるかと思います。
set /aの演算子の^ & >>などは文法上の特殊文字なので、引用符で囲む必要があることくらいが注意事項でしょうか。setlocal enabledelayedexpansionを知らなかった場合はこの際理解しましょ。

扱える数値は4バイト(符号付き32bit)なので、1文字を1バイト数値に変換すると、変数1つに4文字分入るので、例えばパスワード長さが16文字だと、4文字ずつ区切って数値化して、変数を4つ使って格納することになります。
95文字の表現には7bit要るので、詰め込んでも5文字は入りません。英数に限れば62文字なので6bitで済み、1変数に5文字詰め込むのは可能です。
サンプルでは、4文字ずつ切ったりつないだりするのは省略して4文字以下になった前提で書いてます。

なお、キーボードからIMEを使わず入力できる文字（いわゆるASCII文字）に限ると95個なので後半にif文を95個並べて文字コード化します。ただし、"とか^は単純に処理できないので普通に書くとエラーですが、パスワードとして許さない文字にすればいいかと。!も駄目かも。
(中略)の部分はASCII文字コード表を見て埋めましょう。

実際には、最初に1回だけやるXOR_VALを求める部分と、毎回実行するパスワード入力して以降の部分に分割して、それぞれ必要なサブルーチンをくっつけた2ファイルにします。

@echo off
setlocal enabledelayedexpansion
set "DB_PASS=1qaz"
set "USER_PASS=2wx"

call :C4toINT "%DB_PASS%"
set /a DB_VAL=RET
call :C4toINT "%USER_PASS%"
set /a USER_VAL=RET
set /a "XOR_VAL=DB_VAL^USER_VAL"

echo DB_VAL=%DB_VAL%
echo USER_VAL=%USER_VAL%

echo XOR_VAL=%XOR_VAL%

rem ここまで前準備で、
rem XOR_VALに排他的論理和結果が入っている前提で以下を実行

set "INPUT_PASS="
set /p INPUT_PASS="ENTER USER PASS: "
call :C4toINT "%INPUT_PASS%"
set /a INPUT_VAL=RET

set /a "FUKUGEN=XOR_VAL^INPUT_VAL"

call :INTtoC4 "%FUKUGEN%"
echo DB_PASS="%RET%"

exit /b

rem 以下サブルーチン
:C4toINT
set "STR=%~1"
set RET=0
for /l %%I in (0,1,3) do (
	call :ORD "!STR:~%%I,1!"
	set /a RET=RET*256+C
)
exit /b

:INTtoC4
set VAL=%~1
set "RET="
for /l %%I in (0,1,3) do (
	set /a "V=VAL&255"
	call :CHR !V!
	set "RET=!C!!RET!"
	set /a "VAL>>=8"
)
exit /b

:ORD
if "%~1"==""  set /a C=0x00&exit /b
if "%~1"==" " set /a C=0x20&exit /b
:（中略）
if "%~1"=="1" set /a C=0x31&exit /b
if "%~1"=="2" set /a C=0x32&exit /b
:（中略）
if "%~1"=="a" set /a C=0x61&exit /b
:（中略）
if "%~1"=="q" set /a C=0x71&exit /b
:（中略）
if "%~1"=="w" set /a C=0x77&exit /b
if "%~1"=="x" set /a C=0x78&exit /b
if "%~1"=="y" set /a C=0x79&exit /b
if "%~1"=="z" set /a C=0x7A&exit /b
:（中略）
if "%~1"=="~" set /a C=0x7E&exit /b
exit /b

:CHR
if %1 EQU 0x00 set "C="&exit /b
:（中略）
if %1 EQU 0x31 set "C=1"&exit /b
:（中略）
if %1 EQU 0x61 set "C=a"&exit /b
:（中略）
if %1 EQU 0x71 set "C=q"&exit /b
:（中略）
if %1 EQU 0x7a set "C=z"&exit /b
:（中略）
exit /b

追記

コメントに書きましたが、「ぱっと見で分からない（ロジックを追ったり書き換えたりすればばれる）」程度でいいなら、外部コマンドが使える前提でbase64エンコードが楽です。

作成：
echo DBパスワード>tempfile1
certutil -encode tempfile1 tempfile2
を実行して、tempfile2の2行目を抜き出す

実施：
set ENCODED=上記の2行目
echo %ENCODED%>tempfile1
certutil -decode tempfile1 tempfile2
set /p DECODED=<tempfile2
del tempfile1 tempfile2

Comments

[ikedas]

xorができるのはわかりましたが、ハッシュ関数を使っていないので質問の要件を満たしていませんね。

setを使ってものすごーーーく頑張ればハッシュ関数ももしかして実装できたりするのかもしれませんが、仮にできたとしても実用に耐えないでしょうし。

[otn]

> そこでハッシュ関数を利用する方法を思いつきました。
と書かれている通り、ハッシュ化は問題に対しての解決策の1つの案なので、別の案と言うことです。

秘密情報（DBパスワード）とXORした結果だけが見えるので、特にハッシュ化の必要性は低いと思いますが、私が気づいてない理由があるのなら、サンプルコードが理解できれば、「ハッシュ化後の文字列（certutilの出力）を4文字ずつ区切って数値化する」という変更も簡単かと思います。前提次第ですが。
for /f "skip=1" %%A in ('certutil -hashfile パスワードが入ったファイル') do if not defined HASHED set HASHED=%%A

> ハッシュ関数ももしかして実装できたりするのかもしれませんが、
自作する場合は、ハッシュ化の計算式は秘匿する必要が無いので、SHA1などメジャーな方法じゃなくて自作のもっと簡単な数式にすれば楽かと思います。

[otn]

そもそも、バッチスクリプトにせよPowershellスクリプトにせよ、ユーザーが書き換えは可能なので、
DBパスワードを復元した次の行にそれを表示するコマンドを書けばばれます。
「ぱっと見でわからにないように」であれば、certurilでbase64エンコード・デコードだけでもいいのかも。⇒ それが良い気がしてきました。