小窥TeslaCrypt密钥设计

Samsong / 2016-05-25

最近群里提到TeslaCrypt的作者放出了主密钥,简单看了下,对他的加密流程比较感兴趣。受条件限制,没有拿到早期样本(只拿到了晚一些的),放狗搜了搜也没找到,但是找到了两款解密程序。一款是Googulator开发的TeslaCrack,另外一款则是BloodDolly开发的TeslaDecoder。前者虽然开源,但支持解密的版本少于后者。本文通过分析及逆向样本和这两款工具,试图了解TeslaCrypt的设计思路。

I

聊一聊随机数安全

iv4n / 2016-05-24

和朋友聊到一个比较有意思的现象,在最近两年的校招面试中,大部分同学连一点基础的密码学知识都没有, 即便是有一些渗透功底的同学。

所以这里想和大家聊一些简单的密码学基础知识,不涉及算法实现,更多的是和常见的漏洞场景联系起来,让问题更容易理解,有点抛砖引玉的意思。

3

OpenSSL CVE-2016-0701私钥恢复攻击漏洞分析

360安全卫士 / 2016-02-04

2016年1月28日,OpenSSL官方发布了编号为 CVE-2016-0701 的漏洞。该漏洞发生在OpenSSL 1.0.2 版本中(OpenSSL 1.0.2f和以后版本不受影响),在使用DH算法时对不同客户端使用了相同私钥和不安全的大素数,导致攻击者可以通过降阶的攻击方式(或者是秘钥恢复估计)来获取服务器端的私钥,从而解密tls。

E

Web前端慢加密

EtherDream / 2015-11-27

天下武功,唯快不破。但密码加密不同。算法越快,越容易破。

Android密码学相关

瘦蛟舞 / 2015-05-18

Android密码学相关-案例wifi万能钥匙

X

正确地使用加密与认证技术

XDSEC / 2015-05-14

在密码学专家之中,“加密并不是认证”是一个简单的共识。但很多不了解密码学的开发者,并不知道这句话的意义。如果这个知识更广为人知和深入理解,那么将会避免很多的设计错误。

这一概念本身并不困难,但在表面之下,还有更多丰富的细节和玄妙之处有待发现。本文就是讲述开发者对于加密和认证二者的混淆与误用,并附上了优秀的解决方案。

使用CBC比特反转攻击绕过加密的会话令牌

mickey / 2015-02-27

CBC模式的全称是密文分组链接模式(Cipher Block Chainning),之所以叫这个名字,是因为密文分组是想链条一样相互连接在一起的.

WiFi万能钥匙蹭网原理详细剖析

路人甲 / 2015-02-26

本次测试版本号为3.2.3,首先通过可疑shell语句定位到疑问的问题代码:类名com.snda.wifilocating.f.ba

F

2014年澳大利亚信息安全挑战 CySCA CTF 官方write up Crypto篇

F1uYu4n / 2014-07-23

Fortcerts开发了不少涉及加密算法的程序并已经自行测试了这些程序,现在他们想要了解其他人对于这些加密程序安全性的看法。

弱随机化种子漏洞科普

∑-TEAM / 2014-04-15

上周我参加了一个Bishop Fox和BYU大学举办的CTF比赛,在比赛过程中我决定尝试一下入侵一下计分系统,并且我把入侵的过程记录了下来。

尽管客户端的token欺骗已经不是什么新鲜事了,但是这次的入侵过程可以作为weak randomness漏洞的一个很好的练习。(这次攻击目标所使用的框架并不是像Rails一样常用的框架)

最后说一句:这个漏洞是框架自己带有的而不是Bishop Fox 或者是 BYU的问题。

SSL-TLS协议安全系列:再见,RC4

路人甲 / 2014-04-04

RC4是美国密码学家Ron Rivest在1987年设计的密钥长度可变的流加密算法。它加解密使用相同的密钥,因此也属于对称加密算法。RC4曾被用在有线等效加密(WEP)中,但由于其错误的使用的方式已被有效破解,而如今,它又被TLS协议所放弃。

SSL-TLS协议安全系列:SSL的Padding Oracle攻击

路人甲 / 2014-04-04

在上一讲中,我们已经介绍了Padding Oracle攻击的背景知识和基本原理。简单来说,攻击就是利用密文解密后填充是否正确这一信息,以此得到明文的部分信息甚至恢复出全部明文。在这一讲里,我们会按照时间序梳理一遍与此攻击相关并影响SSL协议安全性的重要学术文章,简单介绍文章的贡献,给出其影响及对现实应用的指导意义。

熵不起得随机数

碧云涛 / 2014-03-12

2龙好早以前说,能不能把这篇文章翻了,我拿到文章一看,有点意思,但是很多东西我不清楚,然后在维基百科上看了一些关于Entropy(熵)和PRNG(伪随机生成器)和RNG(随机数生成器)的文章,很拖沓,坑却越挖越大,今天打算跟随原文的过程的说一下这篇文章所说到的事情,但是不是完整的翻译。

投稿

热门分类

Web安全 文章:244 篇
事件分析 文章:223 篇
漏洞分析 文章:209 篇
渗透测试 文章:152 篇
木马与病毒 文章:125 篇

最新评论

xiumu

lz1y表哥6

Rook1e

收藏啦

Rook1e

学到了

loopher

滴滴,学习卡,之前看到了一个deep-link的,没有深入这下学到了,谢谢辣

loopher

理由周末时间就搞了这么多,我好菜啊~~

RSS订阅