制作背景
题目要求
banana.jpg
被Black Basta
勒索病毒给加密了,要求选手在服务器上还原出该图片。当还原成功时,服务器上的/flag
即可读。The No More Ransom Project
The No More Ransom Project
,它是一个全球性的倡议,为各种类型的勒索软件提供免费的解密工具。它旨在帮助受到勒索软件攻击的受害者,让他们无需支付赎金就能恢复被加密的数据。Black Basta
即可获取到下载地址。Black Basta Buster
Black Basta
勒索软件采用基于ChaCha
密钥流的加密算法,利用该算法对64字节长的文件块执行XOR
操作,并确定加密块的位置是由文件大小决定,根据文件大小,勒索软件会加密前5000个字节。Known Plaintext Attack
,就可以恢复文件。文件是否可以完全恢复或部分恢复取决于文件的大小。低于5000字节的文件无法恢复。对于大小在5000字节到1GB之间的文件,可以完全恢复。对于大于1GB的文件,前5000字节将丢失,但其余部分可以恢复。Black Basta Buster
解密软件。key.block
README.rst
,可知道要得到key.block
,需要使用xorblocks.py
,并传入被加密的文件,以及已知的明文块plaintext.block
。key.block
。解题过程
cd /tmp
wget https://github.com/srlabs/black-basta-buster/archive/refs/heads/master.zip -O buster.zip
unzip buster.zip && cd black-basta-buster-master
cp /var/www/html/banana.jpg.sah28vut5 . && cp /var/www/html/key.block .
# 替换项目文件里的错误
sed -i 's/flags/"flags"/' ./decryptblocks.py
export SRL_IGNORE_MAGIC=1
./decryptblocks.py ./banana.jpg.sah28vut5 ./key.block
cp ./banana.jpg.sah28vut5 /var/www/html/banana.jpg
watch cat /flag
SRL_IGNORE_MAGIC
,那必须先./magic.py ./banana.jpg.sah28vut5
# 得到MAGIC、MAGIC_EXT,然后修改magic.py
勒索无时无刻不在……
root/123456
,然后过一段时间,就发现容器里的文件打不开,且ssh账号也被修改了。然后发现了Your data has been locked!.txt
RaaS模式
后来,我了解到这些勒索软件组织为何如此肆无忌惮,这与他们所倡导的勒索软件即服务(RaaS)模式密不可分。以LockBit为例,在其RaaS模式中,运营组织分成约 20%赎金,其余部分全部分给附属组织,高额的分成吸引了大量的勒索攻击团伙,也让LockBit的勒索组织规模迅速扩大。
简单理解,RaaS就是黑客组织借由暗网和虚拟货币技术,对外出租或售卖成熟的勒索软件产品和服务,普通人购买了该组织的RaaS产品,就可以轻松地对各个机构、公司、个人发起攻击。
+ + + + + + + + + + +
关于伽玛实验室
伽玛实验室(GAMELAB)聚焦网络安全竞赛研究领域,覆盖网络安全赛事开发、技术研究、赛制设计、赛题研发等方向。秉承“万物皆可赛”的信念,研究内容涉及WEB渗透、密码学、二进制、AI、自动化利用、工控等多个重点方向,并将5G、大数据、区块链等新型技术与网安竞赛进行融合,检验新型技术应用安全性的同时,训练网安人员的实战能力。同时,不断创新比赛形式,积极推动反作弊运动,维护网安竞赛健康长远发展。团队成员以95后为主,是支极具极客精神的年轻团队。
![【WP】2024年春秋杯夏季赛“初探勒索病毒”出题思路详解](https://www.ctfiot.com/wp-content/themes/onenav/images/t.png)
原文始发于微信公众号(春秋伽玛):【WP】2024年春秋杯夏季赛“初探勒索病毒”出题思路详解