1、 恶意PyPI库Solana用户窃取区块链钱包密钥 https://www.sonatype.com/blog/an-ideal-pypi-typosquat-solana-py-is-here-to-steal-your-crypto-keys 2024年8月11日，研究人员发现了一个新的恶意软件包，该包在Python软件包索引（PyPI）上伪装成Solana区块链平台的库，旨在窃取用户的钱包密钥。研究人员发布的报告中指出，这个恶意包名为“solana-py”，而真正的Solana Python API项目在GitHub上称为“solana-py”，在PyPI上则为“solana”。恶意“solana-py”包自2024年8月4日发布以来， 2、勒索软件组织Rhysida声称窃取两家医疗系统数据 https://www.govinfosecurity.com/rhysida-claims-major-data-theft-from-2-more-health-systems-a-25997 勒索软件组织Rhysida宣称对两家新的医疗系统——Bayhealth和Community Care Alliance（CCA）进行了大规模数据盗窃。Rhysida威胁将患者的敏感健康和个人信息在暗网上出售或公开。位于特拉华州的非营利医疗系统Bayhealth拥有多家医院、4000名员工和650名医生及其他临床医护人员。Rhysida声称窃取了Bayhealth患者的个人信息，并要求支付25个比特 3、谷歌Quick Share文件传输工具中存在数十个安全漏洞 https://www.safebreach.com/blog/rce-attack-chain-on-quick-share 研究人员在Google的Quick Share数据传输工具中发现了多达10个安全漏洞，这些漏洞可被组合利用，触发远程代码执行（RCE）链，从而在安装该软件的系统上运行任意代码。Quick Share是一种点对点文件共享工具，允许用户在Android设备、Chromebook和Windows桌面及笔记本电脑之间传输文件。研究人员通过分析Quick Share的协议，发现了9个影响Windows版本和1个影响Android版本的漏洞。这些漏洞包括6个远程拒绝服务（DoS 4、微软发现OpenVPN漏洞链可实现远程代码执行和权限提升 https://www.microsoft.com/en-us/security/blog/2024/08/08/chained-for-attack-openvpn-vulnerabilities-discovered-leading-to-rce-and-lpe/ 微软研究人员在Black Hat USA 2024大会上披露了OpenVPN中的四个中等严重性漏洞，这些漏洞可以被组合利用，达成远程代码执行（RCE）和本地权限提升（LPE）。OpenVPN是一款开源软件，提供建立虚拟专用网络（VPN）连接的安全灵活方式。根据微软发布的报告，攻击者可以利用这些漏洞对目标端点进行全面控制，可能导 5、Ewon Cosy+工业远程访问工具存在多个漏洞易受攻击 https://blog.syss.com/posts/hacking-a-secure-industrial-remote-access-gateway/ 研究人员披露了Ewon Cosy+工业远程访问解决方案中的多个安全漏洞，这些漏洞可被滥用以获取设备的root权限，并策划后续攻击。攻击者可以利用持久性跨站脚本（XSS）漏洞以及设备在未受保护的名为credentials的cookie中存储Base64编码的当前Web会话凭据，从而获得管理访问权限并最终获取root权限。未认证的攻击者通过结合这些漏洞并等待管理员用户登录设备，即可获得root访问权限。这条攻击链可以进一步扩展来设置持久性、 6、微软警告未修补的Office漏洞将导致数据泄露 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38200 微软披露了一个未修补的Office零日漏洞（CVE-2024-38200），如果成功利用，可能导致敏感信息泄露给恶意行为者。该漏洞的CVSS评分为7.5，被描述为一种欺骗漏洞。研究人员发现并报告了该漏洞。微软在公告中表示，在基于网络的攻击场景中，攻击者可以托管含有特制文件的网站（或利用被攻陷的网站），该文件旨在利用此漏洞。然而，攻击者无法强迫用户访问网站，而是需要通过电子邮件或即时消息引诱用户点击链接并打开特制文件。微软预计将在8月13日发布正式补丁，但已 7、FreeBSD 发布针对高危OpenSSH 漏洞的紧急补丁 https://thehackernews.com/2024/08/freebsd-releases-urgent-patch-for-high.html FreeBSD 项目的维护人员发布了安全更新，以解决 OpenSSH 中的一个高严重性漏洞，攻击者可能利用该漏洞以提升的权限远程执行任意代码。该漏洞的编号为CVE-2024-7589，CVSS 评分为 7.4（满分 10.0），表明该漏洞的严重性极高。 8、EastWind 攻击活动利用复杂的后门针对俄罗斯组织 https://securityaffairs.com/166924/apt/eastwind-campaign-targets-russian-organizations.html 一项名为 EastWind 的活动利用 PlugY 和 GrewApacha 后门针对俄罗斯政府和 IT 组织。 9、1Password mac版存在严重漏洞，可能允许黑客窃取用户密码 https://www.helpnetsecurity.com/2024/08/09/cve-2024-42219-cve-2024-42218 AgileBits 已确认，影响流行的 1Password 密码管理器 macOS 版本的两个漏洞 (CVE-2024-42219、CVE-2024-42218) 可能允许恶意软件窃取存储在软件保险库中的secrets并获取帐户解锁密钥。 10、研究称AI 模型在从暗网论坛收集威胁情报的准确率达98% https://cybersecuritynews.com/ai-model-achieve-98-accuracy-in-collecting-threat-intelligence/ 在最近的一项研究中，蒙特利尔大学和 Flare Systems 的研究人员证明，大型语言模型 （LLM） 可以从网络犯罪论坛中准确提取关键的网络威胁情报 （CTI），准确率高达 98%。这些研究结果发表在一份白皮书中，强调了人工智能在加强网络安全工作方面的巨大潜力。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

前言 无论学习什么，首先，我们应该有个目标，那么入门windows游戏安全，脑海中浮现出来的一个游戏 -- 扫雷，一款家喻户晓的游戏，虽然已经被大家分析的不能再透了，但是我觉得自己去分析一下还是极好的，把它作为一个小目标再好不过了。 我们编写一个妙妙小工具，工具要求实现以下功能：时间暂停、修改表情、透视、一键扫雷等等。 本文所用工具： Cheat Engine、x32dbg(ollydbg)、Visual Studio 2019 扫雷游戏分析 游戏数据在内存中是地址，那么第一个任务，找内存地址 打开CE修改器 修改时间->时间暂停 计数器的时间是一个精确的值，所以我们通过精确数值扫描出来，游戏开始之前计数器上的数是0，所以我们扫描0。 时间在变化，选择介于什么数值之间再次扫描 可得 0x100579c --- winmine.exe+579C 我们发现这个数据都是直接通过基址 + 固定偏移能直接得到的。 然后我们对数据去找 是什么改写了这个地址，得到一个指令和指针： 时间：0x100579c 修改表情 - 没啥用 修改表情这个功能怎么搞我觉得还是很容易想到的，这个按钮的作用是重新开始游戏，开始游戏，游戏胜利，游戏失败。 （表情的状态被分成了两个变量（4byte）来控制） 所以它是一种状态，所以我们通过0和1进行扫描，游戏进行状态输入1进行扫描，还原游戏之后输入0进行扫描。 首先是游戏进行状态，输入1进行扫描 再点击表情，将游戏还原，输入0开始扫描 如此反复进行扫描，得到表情的内存地址 0x1005164 -- winmine.exe+5164 但是嘞，修改成2或者3，表情没有心得反应，所以控制游戏胜利和游戏失败的是其他的地址，我们知道，一般来说，一个功能的代码在内存中基本上都是连续的，(就像你修改一个游戏的血量，浏览血量内存块，你可以发现怒气，蓝量等内存地址) 所以，我们浏览内存 0x1005164-4 = 0x1005160 修改为3，发现出现了戴墨镜的表情（游戏胜利） 但是这个胜利知识一个状态，并不能说明扫雷完成. 表情：0x1005160与0x1005164 透视 - 显示雷区 思考游戏结束的时候会自动显示所有的雷，因此我们动态调试，看看在哪个函数调用之后会显示所有的雷 经过几次的动态调试之后发现：0x2F80函数是我们要找的结果。 一键扫雷 通过透视，我们玩一把游戏，使得游戏胜利(点完最后一个) 然后后两个函数，是破纪录跟英雄榜的函数 ret来到了这儿，游戏通关了，来到了这儿，可以知道，这个0x347c就是判断输赢的函数 并且通过调试发现由一个参数 0 1 来控制，所以跟透视差不多，带个参数线程回调就完了 编写妙妙小工具 怎么实现这个工具呢，当然是选择DLL注入 那么dll 怎么注入进去呢，这里选择远程线程注入 这里先简单介绍下什么是远程线程注入 前置知识-动态调用dll 主要就是这几个个 API： LoadLibraryA 加载指定 DLL 并返回模块句柄，参数为字符串，就是 dll 的路径。 GetProcAddress 获取指定 dll 的导出函数的地址。 第一个参数是模块句柄，第二个参数是模块函数，返回值为函数的地址。 通过这两个函数，我们可以拿到所有函数的地址，然后就能进行调用。 CreateThread - 远程线程注入 里面几乎只有一个参数，那就是线程回调函数，然后当然还有返回地址，返回线程 id 啥的，这里我们都可以不用管，几乎是与 Linux 的创建线程函数一致。 还有一个远程版本的叫 CreateRemoteThread，它可以给别的进程创建一个线程并可以在本进程创建那个进程调用的回调函数。我们可以在回调函数中加载指定的 dll，在 dllmain 的入口当中，有一个 switch 的四个选项。 // dllmain.cpp : 定义 DLL 应用程序的入口点。 #include "pch.h" BOOL APIENTRY DllMain( HMODULE hModule,//指向自身的句柄                       DWORD  ul_reason_for_call,//调用原因                       LPVOID lpReserved//隐式加载or显式加载                     ) {    switch (ul_reason_for_call)   {    case DLL_PROCESS_ATTACH://附加到进程上时执行    case DLL_THREAD_ATTACH://附加到线程上时执行    case DLL_THREAD_DETACH://从线程上剥离时执行    case DLL_PROCESS_DETACH://从进程上剥离时执行        break;   }    return TRUE; } 我们可以在 DLL_PROCESS_ATTACH 的选项中加入代码，让它在加载的时候调用执行。 那么我们的步骤是： 打开指定进程获得句柄 开辟远程进程的空间，分配可读可写段。 调用 WriteProcessMemory 将 dll 路径写入该内存区域。 创建远程线程，回调函数使用 LoadLibrary 加载指定 dll。 等待返回（loadLibrary返回） 释放空间 释放句柄 返回结果 demo： void Inject(DWORD ProcessId, const char* szPath) {    //1.打开目标进程获取句柄    HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, ProcessId);    printf("进程句柄:%p\n", hProcess);    //2.在目标进程体内申请空间    LPVOID lpAddress = VirtualAllocEx(hProcess, NULL, 0x100, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);    //3.写入DLL路径    SIZE_T dwWriteLength = 0;    WriteProcessMemory(hProcess, lpAddress, szPath, strlen(szPath), &dwWriteLength);    //4.创建远程线程，回调函数使用 LoadLibrary 加载指定 dll    HANDLE hThread = CreateRemoteThread(hProcess, NULL, NULL, (LPTHREAD_START_ROUTINE)LoadLibraryA, lpAddress, NULL, NULL);    //5.等待返回（loadLibrary返回）    WaitForSingleObject(hThread, -1);    //6.释放空间    VirtualFreeEx(hProcess, lpAddress, 0, MEM_RELEASE);    //7.释放句柄    CloseHandle(hProcess);    CloseHandle(hThread);    //返回结果    AfxMessageBox(L"完成"); } 编写DLL注入器 #include<windows.h> #include<iostream> #include<time.h> #include<stdlib.h> #include<TlHelp32.h> DWORD FindProcess() {    HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);    PROCESSENTRY32 pe32;    pe32 = { sizeof(pe32) };    BOOL ret = Process32First(hSnap, &pe32);    while (ret)   {        if (!wcsncmp(pe32.szExeFile, L"mine.exe", 11)) {            printf("Find winmine.exe Process %d\n", pe32.th32ProcessID);            return pe32.th32ProcessID;       }        ret = Process32Next(hSnap, &pe32);   }    return 0; } void Inject(DWORD ProcessId, const char* szPath) {    //1.打开目标进程获取句柄    HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, ProcessId);    printf("进程句柄:%p\n", hProcess);    //2.在目标进程体内申请空间    LPVOID lpAddress = VirtualAllocEx(hProcess, NULL, 0x100, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);    //3.写入DLL路径    SIZE_T dwWriteLength = 0;    WriteProcessMemory(hProcess, lpAddress, szPath, strlen(szPath), &dwWriteLength);    //4.创建远程线程，回调函数使用 LoadLibrary 加载指定 dll    HANDLE hThread = CreateRemoteThread(hProcess, NULL, NULL, (LPTHREAD_START_ROUTINE)LoadLibraryA, lpAddress, NULL, NULL);    //5.等待返回（loadLibrary返回）    WaitForSingleObject(hThread, -1);    //6.释放空间    VirtualFreeEx(hProcess, lpAddress, 0, MEM_RELEASE);    //7.释放句柄    CloseHandle(hProcess);    CloseHandle(hThread); } int main() {    DWORD ProcessId = FindProcess();    while (!ProcessId) {        printf("未找到扫雷程序，等待两秒中再试\n");        Sleep(2000);        ProcessId = FindProcess();   }    printf("开始注入进程...\n");    Inject(ProcessId, "E:\\CODE\\wimine\\Mine\\release\\Mine.dll");    printf("注入完毕\n"); } 编写DLL 这里我们采用MFC DLL 基于对话框 （dialog）的方式编写（简单），使用静态编译的方式 然后我们需要在资源窗体，新建一个 Dialog ，简单包装一个界面 这样我们在加载窗体的时候需要创建一个窗体类对象用它的 DoModal 方法去显示，用线程回调的方式加载并且初始化InitInstance DWORD WINAPI DlgThreadCallBack(LPVOID lp) {    MineDlg* Dlg;    Dlg = new MineDlg();    Dlg->DoModal();    delete Dlg;    FreeLibraryAndExitThread(theApp.m_hInstance, 1);    return 0; } // CMineApp 初始化 BOOL CMineApp::InitInstance() {    CWinApp::InitInstance();   ::CreateThread(NULL, NULL, DlgThreadCallBack, NULL, NULL, NULL);    return TRUE; } 时间暂停 上面我们找到了它控制时间增加的指令，我们把它们全部 NOP 掉，就可以实现时间暂停 写两个按钮，创建下面的事件实现时间暂停开关。 DWORD GetBaseAddr() {    HMODULE hMode = GetModuleHandle(nullptr);    //LPWSTR s = (LPWSTR)malloc(0x100);    //wsprintf(s, L"基址:%p", hMode);    //AfxMessageBox(s);    return (DWORD)hMode; } void MineDlg::OnBnClickedButton1() // 时间暂停 {    // TODO: 在此添加控件通知处理程序代码    auto BaseAddr=GetBaseAddr();    DWORD TimeOffset = 0x579C;    DWORD TimeInsOffset = 0x2FF5;    DWORD InsLen = 6;    DWORD old;    VirtualProtect((void*)(BaseAddr + TimeInsOffset), InsLen, PAGE_EXECUTE_READWRITE, &old);    BYTE INS[] = { 0x90,0x90,0x90,0x90,0x90,0x90 };    memcpy((void *)(BaseAddr + TimeInsOffset), INS, InsLen);    VirtualProtect((void*)(BaseAddr + TimeInsOffset), InsLen, old, &old); } void MineDlg::OnBnClickedButton2() // 恢复字节即可取消时间暂停 {    // TODO: 在此添加控件通知处理程序代码    auto BaseAddr = GetBaseAddr();    DWORD TimeOffset = 0x579C;    DWORD TimeInsOffset = 0x2FF5;    DWORD InsLen = 6;    DWORD old;    VirtualProtect((void*)(BaseAddr + TimeInsOffset), InsLen, PAGE_EXECUTE_READWRITE, &old);    BYTE INS[] = { 0xFF,0x05,0x9C,0x57,0x00,0x01 };    memcpy((void*)(BaseAddr + TimeInsOffset), INS, 6);    VirtualProtect((void*)(BaseAddr + TimeInsOffset), InsLen, old, &old); } 测试 透视 经过上面动态调试我们得出结论：0x2F80函数是踩雷函数。 我们如果调用这个函数，是不是就能够实现透视了呢？ 我们依旧采取线程回调的方式 void MineDlg::OnBnClickedButton3() {    // TODO: 在此添加控件通知处理程序代码    DWORD ESPOffset = 0x2f80;    DWORD FuncAddr = GetBaseAddr() + ESPOffset;    // 创建不带参数的线程    CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)FuncAddr, NULL, 0, NULL); } 测试 一键扫雷 跟透视差不多，只不过创建带参数的线程回调 void MineDlg::OnBnClickedButton4() {    // TODO: 在此添加控件通知处理程序代码    DWORD ESPOffset = 0x347C;    DWORD FuncAddr = GetBaseAddr() + ESPOffset;    //创建带参数的线程    struct { int a; } s = { 0 };    CreateThread(NULL, NULL, (LPTHREAD_START_ROUTINE)FuncAddr, &s, NULL, NULL); } 测试 总结 通过这个小项目，对WIN游戏安全有初步的认识，并且加强对软件的逆向思维，增强动态调试的能力，找到软件关键的基地址，通过CE修改器，初步pojie软件，了解软件的状态，修改时间（时间暂停等等），理解几个重要的API，FindWindow获取句柄，WriteProcessMemory写入内存信息，LoadLibraryA加载指定 DLL 并返回模块句柄，GetProcAddress，获取指定 dll 的导出函数的地址，CreateThread 线程回调函数等等。多写，多做，多调，多实验，加油，互勉。

1、 Rhysida勒索软件团伙入侵特拉华州Bayhealth医院 https://securityaffairs.com/166749/cyber-crime/rhysida-ransomware-bayhealth-hospital.html Rhysida勒索软件团伙声称已入侵特拉华州的Bayhealth医院，并在其Tor泄漏网站上列出该医院为受害者。Bayhealth是一家技术先进的非营利性医疗系统，拥有近4000名员工和超过450名医生及200名高级执业临床医生。Rhysida团伙声称已从医院窃取数据，并要求25个比特币以避免泄露。该团伙泄露了被盗护照和身份证的截图作为入侵证明。该团伙表示：“只剩7天时间，抓住机会竞标独特且令人印象深刻的数据。准备 2、Nexera DeFi协议遭黑客攻击致180万美元被盗 https://hackread.com/nexera-defi-protocol-hacked-smart-contract-exploit/ Nexera去中心化金融（DeFi）协议遭到重大安全漏洞攻击，导致约180万美元的数字资产被盗。加密安全公司Cyvers详细披露了此次攻击，黑客通过复杂操作控制了Nexera的代理合约，并利用"withdraw admin"功能转移了平台上全部的NXRA代币（共计3250万NXRA代币）。Cyvers在X（Twitter）上发布声明，检测到代理合约被一个地址接管并升级，随后该地址使用"withdraw admin"功能转移了所有NXRA代币。事件发 3、Windows降级攻击将已修复漏洞变成零日漏洞 https://www.safebreach.com/blog/downgrade-attacks-using-windows-updates 研究人员开发了一种Windows降级攻击，使得即使是完全打过补丁的Windows机器也会在隐蔽、持久和不可逆的情况下变得脆弱。受BlackLotus UEFI bootkit启发，该攻击利用Windows更新过程中的漏洞，使Windows安全机制和端点安全解决方案无法检测。研究人员发现，Windows更新过程通过机器在更新文件夹中发出更新请求开始，一旦微软的更新服务器验证其完整性，更新文件夹和更新操作列表（Pending.xml）会被保存到服务器控制 4、Cisco警告老旧IP电话存在关键远程代码执行零日漏洞 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-spa-http-vulns-RJZmX2Xz Cisco警告称，其已停止支持的Small Business SPA 300和SPA 500系列IP电话的基于Web的管理界面存在多个关键远程代码执行（RCE）零日漏洞。由于这些设备未提供修复补丁且无缓解措施，用户需尽快迁移到更新且有支持的型号。Cisco披露了五个漏洞，其中三个被评为关键（CVSS v3.1评分：9.8），两个为高严重性（CVSS v3.1评分：7.5）。 5、WhatsUp Gold关键安全漏洞遭受活跃攻击 https://summoning.team/blog/progress-whatsup-gold-rce-cve-2024-4885/ Progress Software的WhatsUp Gold网络监控应用程序发现了一个严重的安全漏洞CVE-2024-4885（CVSS评分：9.8），目前正遭受活跃攻击，用户需立即更新到最新版本以防范风险。该漏洞影响2023.1.3之前发布的版本，是一个未经身份验证的远程代码执行漏洞。根据公司在2024年6月底发布的公告，漏洞存在于WhatsUp.ExportUtilities.Export.GetFileWithoutZip方法中，该方法允许使用iis 6、朝鲜网络间谍组织Kimsuky攻击大学教授和研究人员 https://www.cyberresilience.com/threatintel/apt-group-kimsuky-targets-university-researchers/ 研究人员披露，朝鲜关联的威胁行为者Kimsuky近期针对大学教职员工、研究人员和教授发起了一系列新的攻击行动，目的是收集情报。研究人员在2024年7月底通过观察黑客的操作安全（OPSEC）错误识别出这一活动。此次攻击的特点包括使用被攻陷的主机作为部署基础设施，安装经过混淆处理的Green Dinosaur网页木马，用于执行文件操作。Kimsuky利用该网页木马上传模拟Naver和多所大学（如东德大学、高丽大 7、Chameleon安卓银行木马伪造虚假CRM应用攻击用户 https://www.threatfabric.com/blogs/chameleon-is-now-targeting-employees-masquerading-as-crm-app 研究人员揭露了Chameleon安卓银行木马的新攻击手法，该木马伪装成客户关系管理（CRM）应用，主要针对加拿大用户。研究人员报告中指出，该木马假扮为CRM应用，目标是一个在国际上运营的加拿大餐饮连锁店。此次攻击活动于2024年7月被发现，目标客户分布在加拿大和欧洲，显示其受害者范围从澳大利亚、意大利、波兰和英国扩展。假CRM应用的主题指向目标是酒店业和B2C员工。 8、恶意软件伪装成Chrome和Edge扩展感染超30万用户 https://reasonlabs.com/research/new-widespread-extension-trojan-malware-campaign 研究人员发现了一场正在进行的大规模恶意软件活动，通过伪装成流行软件的假网站安装恶意的Google Chrome和Microsoft Edge扩展。这些恶意软件和扩展已影响至少30万用户。研究人员在分析中指出，这种特洛伊木马自2021年以来存在，起源于仿冒下载网站，提供在线游戏和视频的附加组件。恶意软件包含从简单的广告软件扩展（劫持搜索）到更复杂的恶意脚本（窃取私人数据和执行各种命令）的不同可执行文件。该活动的核心是利用恶意广告（ma 9、Sonos智能音箱缺陷可让远程黑客窃听用户 https://www.nccgroup.com/us/research-blog/blackhat-usa-2024-listen-up-sonos-over-the-air-remote-kernel-exploitation-and-covert-wiretap/ 研究人员发现Sonos智能音箱存在漏洞，可能被恶意行为者利用来偷偷窃听用户。研究人员表示，这些漏洞导致Sonos设备的安全启动过程完全失效，并可通过空中攻击远程攻破多个设备。这些漏洞影响所有Sonos S2 15.9版和Sonos S1 11.12版之前的版本，这些版本分别在2023年10月和11月发布。成功利用其中一个漏洞 10、Ecovacs家用机器人可被黑客入侵以监视用户 https://reurl.cc/myvdgl 研究人员发现，恶意黑客可以控制Ecovacs制造的吸尘和割草机器人，通过设备的摄像头和麦克风监视用户。这些研究结果将在Def Con黑客大会上详细介绍。研究人员分析了多款Ecovacs产品，发现存在多个漏洞，可通过蓝牙远程控制机器人并悄悄开启麦克风和摄像头。研究人员表示，他们已向Ecovacs报告这些漏洞，但未收到回应，漏洞可能仍未修复。主要问题是，任何人都可以使用手机通过蓝牙在最远450英尺（约130米）的距离内连接并控制Ecovacs机器人。一旦黑客控制设备，他们可以通过Wi-Fi远程连接机器人，读取Wi-Fi凭证、保存的房间地图，并访问摄 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、 CMoon USB蠕虫攻击俄罗斯高价值目标窃取数据 https://securelist.ru/how-the-cmoon-worm-collects-data/109988/2024年8月7日，研究人员报道，一种名为“CMoon”的新型自传播蠕虫自2024年7月初以来在俄罗斯传播，旨在窃取账户凭证和其他数据。研究人员发现该蠕虫通过一家燃气供应公司网站传播，目标主要是高价值对象而非普通互联网用户。CMoon能够加载额外的恶意负载、截取屏幕截图并发起分布式拒绝服务（DDoS）攻击。感染链开始于用户点击网站上提供的文档链接，文档被替换为包含恶意执行文件的自解压档案。燃气公司在7月25日被通知后移除了恶意文件和链接，但由于CMoon的自传播特性，其分 2、STAC6451攻击印度多家组织并部署Mimic勒索软件 https://news.sophos.com/en-us/2024/08/07/sophos-mdr-hunt-tracks-mimic-ransomware-campaign-against-organizations-in-india/研究人员在支持一起活跃事件时，发现了一个新的威胁活动集群STAC6451，该集群通过公开暴露在互联网的Microsoft SQL Server数据库服务器（默认TCP/IP端口1433）对印度的多家组织进行攻击，试图部署勒索软件。STAC6451集群的主要特征是滥用SQL Server进行未经授权的访问，并通过xp_cmdshell远程执行代码，使用BCP 3、McLaren医疗集团因INC Ransom勒索软件攻击中断 https://www.mclaren.org/main/notificationMcLaren Health Care医院的IT和电话系统在一次与INC Ransom勒索软件有关的攻击后中断。McLaren是一家年收入超过65亿美元的非营利性医疗系统，在密歇根州运营13家医院，拥有640名医生和超过28000名员工，并与印第安纳州和俄亥俄州的113000个网络提供商合作。McLaren在其网站上发布声明称，正在调查其信息技术系统的中断，建议患者在预约时携带详细的药物信息、医生订单和最近的实验室测试结果。部分预约和非紧急或选择性程序可能会被重新安排。尽管McLaren尚未披露事件的具体性质，但 4、研究人员发现新型Linux内核漏洞利用技术"SLUBStick" https://www.stefangast.eu/papers/slubstick.pdf研究人员披露了一种名为“SLUBStick”的新型Linux内核漏洞利用技术。该技术可将有限的堆漏洞提升为任意内存读写操作。Graz技术大学的一组学者表示，SLUBStick通过利用分配器的时间侧信道进行跨缓存攻击，提高了漏洞利用的成功率，尤其是在常用的通用缓存中，成功率超过99%。尽管Linux内核的内存安全漏洞由于存在诸如监督模式访问防止（SMAP）、内核地址空间布局随机化（KASLR）和内核控制流完整性（kCFI）等安全特性而难以利用，但SLUBStick成功在Linux内核的5.19和6.2版本 5、CrowdStrike否认Falcon传感器漏洞存在可利用性 https://www.securityweek.com/crowdstrike-dismisses-claims-of-exploitability-in-falcon-sensor-bug/CrowdStrike 否认了 Falcon EDR 传感器漏洞可能被利用来进行权限提升或远程代码执行的说法。 6、美国悬赏 1000 万美元缉拿入侵水务工控系统的伊朗黑客 https://www.securityweek.com/us-offering-10-million-reward-for-iranian-ics-hackers/美国向被控去年入侵水务工业控制系统的伊朗个人悬赏高达 1000 万美元。 7、AWS修补了可能导致账户接管的漏洞 https://www.securityweek.com/aws-patches-vulnerabilities-potentially-allowing-account-takeovers/AWS 已修补了多款产品中的漏洞，其中包括可能被利用来接管账户的漏洞。拉斯维加斯——2024 年美国黑帽大会——据云安全公司 Aqua Security 称，AWS 最近修补了潜在的严重漏洞，包括可能被用于接管账户的漏洞。 8、已有18年历史的漏洞"0.0.0.0 Day"可绕过主流浏览器的安全保护 https://securityaffairs.com/166765/hacking/0-0-0-0-day-browsers-attack.html一个已有 18 年历史的漏洞，被称为“0.0.0.0 Day”，允许恶意网站绕过 Chrome、Firefox 和 Safari 的安全性，从而侵入本地网络。 9、 T-Head C910 RISC-V CPU 被发现存在严重安全漏洞 https://www.theregister.com/2024/08/07/riscv_business_thead_c910_vulnerable/德国 CISPA 亥姆霍兹信息安全中心的计算机安全研究人员发现，阿里巴巴的 T-Head C910 RISC-V CPU 存在严重安全漏洞。 10、光伏发电管理平台曝出高危漏洞，可导致全球范围停电 https://www.secrss.com/articles/68958网络安全公司Bitdefender近日披露了两大广泛使用的太阳能管理平台中的重大安全漏洞，攻击者可造成大规模停电并破坏电力分配系统，可能影响全球20%的光伏发电，涉及190多个国家和地区的200多万个光伏电站。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

2024年8月2日，为期5天的2024网络安全高级研修班（第二期）圆满结束。本次研修班由湖南蚁景科技有限公司、成都为辰信息科技有限公司、电子科技大学嵌入式软件工程中心联合主办。课程聚焦于渗透测试攻防实战等网络安全关键技术，采用线下培训+线上同步直播的培训方式，充分满足了不同地域教师的学习需求。自5月启动报名以来，吸引了来自全国各高校相关专业教师的踊跃参与。 在本次培训会的开班仪式上，电子科技大学教授、博士生导师罗蕾发表了精彩的开班致辞及专题分享，为研修班拉开了序幕。 随后，成都为辰信息科技有限公司安全实验室负责人王志鹏为大家带来了车联网安全方向的专题报告。 在开班仪式最后，湖南蚁景科技有限公司销售部负责人黄超，结合公司精心研发且独具优势的网安实战人才培养平台，通过清晰的逻辑、生动的案例以及丰富的数据，为现场的教师们带来了一场精彩汇报。 课程方面，蚁景网安的一线实战级讲师团队精心打磨课程，将实战理论与靶场相结合，为参研教师们呈现了一场知识盛宴。 在课程进行期间，参研教师展现出了极高的学习热情和钻研精神。课间甚至每日结课后，依然沉浸在课程问题的探讨中，蚁景科技的授课讲师也始终保持耐心，细心地为老师们解答每一个疑问。同时，课堂上讲师通过实战演练、疑难解惑等环节，进一步加深了大家对知识的理解和掌握。 课间&每日结课场景 此外，本次培训会的后勤保障团队从会议安排到接待，再到贴心的会场服务，全方位确保了研修班的顺利进行。 随着研修班的圆满结束，参研教师们不仅在网络安全的专业知识和技能上得到了显著提升，也为培养更多优秀的网络安全专业人才注入新的活力，共同推动我国网络安全事业迈向新的高度。

引言 题目给了小明的机器码：1653643685031597 用户user_id：xiaoming 可以看到题目采用了SIMD指令集 该指令格式在CTF和攻防对抗中经常出现，可以提高执行效率的同时也可以增加逆向的难度。 对于此类指令和题目，我们分析的方法是：遇到查意思，查的多了就跟看正常代码一样，采用动态分析。 机器码修改 将内置的机器码改为题目给的：1653643685031597 修改成功： 得到flag的时候跟machine这个有很大关系 动态分析 machine_id处理 在这个加密函数中 发现了MD5特征 经过动调拿到函数加密后的结果 与我们的猜测是相符的 可以发现最终md5(机器码)变成 user_id处理 和调试machine加密一样，最终MD5(user_id)变成： 最终处理 经过之前相同的加密 变成这个数字：1228240365737281 然而这还没完，居然进行两次相同加密 再次加密后的结果：0502036271810858 可以发现此题出的很好，利用了密码比较的漏洞，没有将密文给出，而是将生成的密文在中间给出，从而造成了数据泄露。 得到flag 回顾加密流程，可以发现 f(key) = f( f( f(md5(machine)) + f(md5(user_id)) ) ) 那么题目给了得到flag的machine和user_id，可以得出 Key =f( f(md5(machine)) + f(md5(user_id)) ) 所以最终flag： flag{1228240365737281}

前言 现在的攻防演练不再像以往那样一个漏洞直捣黄龙，而是需要各种组合拳才能信手拈来，但是有时候使尽浑身解数也不能称心如意。 前期信息收集 首先是拿到靶标的清单 访问系统的界面，没有什么能利用的功能点 首先进行目录扫描，扫描发现存在xxx.zip的文件放置在web目录上 一般zip文件大部分情况都是开发运维人员做系统维护时留下的备份文件，在系统上线后并没有将其删除，于是底裤（即源代码）都直接给到了攻击者 来到这一步都以为是一路高歌，轻松拿下，没想象到是跌宕起伏伏伏伏伏...... 先使用wget下载zip文件，文件总共200+mb，很有概率是源代码的打包 从文件内容可判断，该系统是使用的.net开发，可通过dnspy进行审计 文件上传漏洞审计 拿到源码后的第一个思路是寻找文件上传漏洞 果不其然在源码中找到uploadimg接口，发现未对上传的文件格式进行过滤 实际访问接口发现，怎么改变文件格式、文件内容、Content-Type、还是各种变种传输都无济于事 返回包永远是{"Status":1,"Data""null} 运维实在是坏呀~ Sql注入漏洞审计 第二个思路就是找注入 但是代码中定义了一个SqlChecker全局的类，强制处理所有用户传参，找注入这个方向有有点难啃了 系统用户信息遍历 找到/api/user/getusers接口 接口没有做鉴权，构造请求包发送，返回包返回系统所有用户信息 其中用户信息包括姓名、出生日期、微信账号、手机号码、邮箱、密码等等 伪造jwt_token获取系统管理员-拿下靶标 源码获取到jwt_token的secret 但是该secret不是可读性文本，估计是随机生成的byte字节序列，因此不能自行使用cyberchief或者其他工具将token直接生成 这里有个坑点：开始是使用gpt生成的脚本进行secret的读取和token的生成，发现gpt在处理字节上面有点问题，生成的jwt_token不能使用，于是自行编写了个py脚本进行jwt_token的构造，首先我们将字节序列做16进制的转化，为了python能够使用bytes.fromhex()函数读取16进制化的secret，然后根据上面读出的用户信息，伪装admin账号身份，并设置一个较长的ExpireTime 拿到jwt_token之后，要如何使用才能拿到后台呢，这里首先要明白该系统的登录鉴权机制 由于他存在注册功能，我们便可在自行注册一个账号，然后进行登录，查看认证处理流程 从数据包里面得知，登录成功后会返回jwt_token和一些与用户相关的一些信息，前端会根据返回的身份信息，跳转到对应的页面，并且功能接口都会带上jwt_token进行请求以便获取系统数据 了解清楚后，就开始进行身份伪造，首先去后台登录系统 将登录返回包的内容替换为管理员账号的token（从python脚本中生成）和管理员用户的身份信息 通过鉴权后，终于成功获取管理员后台，靶标5000分到手，哈哈 总结 本次渗透从惊喜到怀疑到失落，总的来说就是“山穷水尽疑无路，柳暗花明又一村”。 如果只是死磕文件上传、SQL注入这些能够快速获取权限的洞，反而有时会错过一些有用的信息，毕竟比赛中分数才是最要紧的，如何高效快速拿下靶标才是第一要领。 同时，代码审计的过程中要结合系统功能来多方面评估，本次挖洞也是先认真理解了系统的登录认证机制，才知道有jwt鉴权这种方式，从而萌生在代码中找jwt secret的想法，也才能把快到手的分数牢牢抓在自己手中。

1、 研究人员发现Smart App Control和SmartScreen漏洞 https://www.elastic.co/security-labs/dismantling-smart-app-control 研究人员揭示了Microsoft Windows Smart App Control（SAC）和SmartScreen的设计弱点，这些弱点可能使威胁行为者能够在不引起任何警告的情况下获得对目标环境的初始访问权限。Smart App Control（SAC）是Microsoft在Windows 11中引入的云驱动安全功能，用于阻止恶意、不受信任和潜在不受欢迎的应用程序在系统上运行。当服务无法预测应用程序的安全性时，它会检查应用程序是否签名或具有有效签名以执行。S 2、朝鲜黑客组织推送恶意npm包用于感染Windows https://securitylabs.datadoghq.com/articles/stressed-pungsan-dprk-aligned-threat-actor-leverages-npm-for-initial-access/ 研究人员发现，隶属于朝鲜的威胁组织Moonstone Sleet持续向JavaScript包注册表npm推送恶意包，目标为感染Windows系统。研究人员报告称，这些恶意包名为harthat-api和harthat-hash，于2024年7月7日发布，但未被下载便迅速移除。Moonstone Sleet通过LinkedIn和自由职业网站传播恶意ZIP文件 3、29亿条含SSN的美国公共数据被黑客泄露 https://hackread.com/data-breach-national-public-data-records-ssns-dumped/ 黑客“Fenice”在知名黑客平台Breach Forums泄露了29亿条来自National Public Data的记录，包含全名、地址和社会安全号码（SSN）等敏感信息。此次数据泄露事件规模巨大，可能导致严重的身份盗窃和金融欺诈。此次泄露的数据共计277GB，被分为两条链接进行分发。研究人员分析发现，泄露的数据包括用户的全名、地址、城市、县、州、邮政编码以及明文的SSN。由于SSN是用于金融和政府交易的重要标识符，此次泄露对美国用户构成重 4、Roundcube Webmail 漏洞可让黑客窃取电子邮件和密码 https://thehackernews.com/2024/08/roundcube-webmail-flaws-allow-hackers.html 网络安全研究人员披露了 Roundcube 网络邮件软件的安全漏洞细节，这些漏洞可被利用在受害者的网络浏览器中执行恶意 JavaScript，并在特定情况下窃取其帐户中的敏感信息。 5、新版macOS Sequoia加强Gatekeeper保护拦截未经授权的软件 https://thehackernews.com/2024/08/apples-new-macos-sequoia-tightens.html 苹果公司周二宣布对下一代 macOS 版本进行更新，这将使用户更难以超越Gatekeeper保护。Gatekeeper 是 macOS 内置的一道重要防线，旨在确保只有受信任的应用程序才能在操作系统上运行。当应用程序从 App Store 之外下载并首次打开时，它会验证该软件是否来自已识别的开发者。 6、RISC-V CPU漏洞-GhostWrite，可用来获取目标完全访问权限 https://www.securityweek.com/ghostwrite-vulnerability-facilitates-attacks-on-devices-with-risc-v-cpu/ 研究人员披露了 GhostWrite 的细节，这是一个 RISC-V CPU 漏洞，可被利用来获取目标设备的完全访问权限。拉斯维加斯——BLACK HAT USA 2024——来自德国 CISPA 亥姆霍兹信息安全中心的一组研究人员披露了影响基于 RISC-V 架构的流行 CPU 的新漏洞的细节。 这个被称为GhostWrite 的漏洞允许具有有限权限的攻击者读取和写入物理内存，从而可能使他 7、Chrome、Firefox 更新修补严重漏洞 https://www.securityweek.com/chrome-firefox-updates-patch-serious-vulnerabilities/ Chrome 127 更新修补了五个漏洞，Firefox 129 解决了十几个安全漏洞。 8、Windows 更新漏洞允许不可检测的降级攻击 https://www.securityweek.com/safebreach-sounds-alarm-on-windows-update-flaws-allowing-undetectable-downgrade-attacks/ 研究人员展示了针对 Microsoft Windows 更新架构的黑客攻击，将修复的漏洞转变为零日漏洞。SafeBreach Labs 研究员 Alon Leviev 呼吁紧急关注微软 Windows 更新架构中的主要漏洞，并警告恶意黑客可以发起软件降级攻击，在拉斯维加斯举行的黑帽大会上，Leviev 在一次备受关注的演讲中展示了他如何接管 Windows 更 9、威胁者宣布推出Doubleface勒索软件，声称主流杀软无法检测 https://cybersecuritynews.com/doubleface-ransomware-claims/ 威胁者引入了 Doubleface 勒索软件，声称主流防病毒软件完全无法检测到它。该勒索软件采用 AES-128 和 RSA-4096 加密的独特算法，如果没有正确的密钥，解密将非常困难。 10、Apple 推出用于安全云计算的同态加密包 https://hackread.com/apple-homomorphic-encryption-secure-cloud-computing/ 在这种方法中，客户端将加密数据发送到服务器，服务器对其进行操作并返回可解密的结果。服务器不解密原始数据，也无权访问解密密钥。这种方法为云服务提供了新的机会，同时保护了用户数据的隐私和安全性。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、 新型LianSpy恶意软件通过屏蔽安卓安全功能躲避检测 https://securelist.com/lianspy-android-spyware/113253/ 研究人员发现了一种名为LianSpy的未记录的Android恶意软件，该软件伪装成支付宝应用或系统服务以躲避检测，专门针对俄罗斯用户。研究人员的分析显示，LianSpy自2021年7月起活跃，但其强大的隐蔽功能使其在三年多的时间里未被发现。LianSpy通过修改Android的图标阻止列表设置参数，绕过了Android 12及以后的“隐私指示器”安全功能，使受害者无法察觉屏幕正在被录制。该恶意软件利用这些功能在设备上隐藏自己的存在。LianSpy安装后，会伪装成Android系统服务 2、朝鲜黑客利用VPN更新漏洞安装恶意软件 https://www.documentcloud.org/documents/25031724-240805_saibeoanbo_jeongbogongdongce_habdongboangweongomun 韩国国家网络安全中心（NCSC）警告称，朝鲜国家支持的黑客通过劫持VPN软件更新漏洞来部署恶意软件并入侵网络。涉及此活动的两个威胁组织是Kimsuky（APT43）和Andariel（APT45），这两个国家支持的黑客组织此前与著名的Lazarus Group有关。NCSC警告称，这两组织同时针对同一行业的活动具有前所未有的性质，显示了其特定政策目标。在首个案例中，2024年1月， 3、勒索软件团伙利用新型SharpRhino恶意软件攻击IT从业者 https://www.quorumcyber.com/insights/sharprhino-new-hunters-international-rat-identified-by-quorum-cyber/ 研究人员发现，Hunters International勒索软件团伙正在使用一种名为SharpRhino的全新C#远程访问木马（RAT），专门针对IT人员入侵企业网络。此恶意软件帮助Hunters International实现初始感染、提升在受感染系统上的权限、执行PowerShell命令，并最终部署勒索软件。根据研究人员的报告，SharpRhino通过一个假冒合法网络工具Angr 4、MDM公司Mobile Guardian遭攻击致13000台设备被远程擦除 https://www.mobileguardian.com/security-incident-august-2024/ 总部位于英国的移动设备管理（MDM）供应商Mobile Guardian遭遇安全事件，导致其管理的iOS和ChromeOS设备被未经授权访问，目前这些设备无法使用。在新加坡，此事件导致13000台设备被远程擦除，教育部因此决定终止与该供应商的合作。Mobile Guardian专注于教育领域，提供设备管理、网页过滤和课堂管理工具。供应商告知客户，这次攻击导致“一小部分设备被取消注册”，进而导致远程擦除。欧洲和北美的客户也面临风险。 5、CrowdStrike 发布 Falcon Sensor BSOD崩溃根本原因分析 https://www.securityweek.com/crowdstrike-releases-root-cause-analysis-of-falcon-sensor-bsod-crash/ 网络安全供应商 CrowdStrike 周二发布了一份根本原因分析，详细说明了导致全球 Windows 系统瘫痪的软件更新崩溃背后的技术故障，并将该事件归咎于安全漏洞和流程缺陷的共同作用。 6、谷歌修复并警告Android内核存在一个被广泛利用的漏洞 https://securityaffairs.com/166656/breaking-news/google-actively-exploited-android-kernel-flaw.html 谷歌修复了一个影响 Android 内核的高危漏洞，编号为 CVE-2024-36971。这家 IT 巨头意识到该漏洞已被广泛利用。该公司没有透露利用此漏洞的攻击细节。 7、勒索软件攻击袭击了法国博物馆网络 https://securityaffairs.com/166696/cyber-crime/ransomware-attack-french-museum-network.html 勒索软件攻击袭击了法国国家博物馆联盟网络，包括巴黎大皇宫和其他博物馆。此次攻击影响了法国各地约 40 家博物馆。攻击发生在周日，尽管一些受影响的场馆正在举办夏季奥运会比赛，但此次事件并未对奥运会造成影响。 8、国际刑警组织追回新加坡史上最大 BEC 诈骗案 4100 万美元 https://thehackernews.com/2024/08/interpol-recovers-41-million-in-largest.html 国际刑警组织表示，其设计了一种“全球止付机制”，帮助促成了有史以来最大规模的商业电子邮件诈骗（BEC）案件的追回。 9、血狼利用STRRAT商业恶意软件袭击哈萨克斯坦组织 https://thehackernews.com/2024/08/kazakh-organizations-targeted-by-bloody.html 哈萨克斯坦的组织是名为Bloody Wolf的威胁活动集群的目标，该集群传播一种名为STRRAT（又名 Strigoi Master）的商品恶意软件。 10、Apache OFBiz 曝出严重漏洞，允许预身份验证 RCE https://www.freebuf.com/news/407869.html 近日，研究人员发现 Apache OFBiz 中存在一个新的关键漏洞，该漏洞是 Apache OFBiz 中的一个错误授权问题，被追踪为CVE-2024-38856。该漏洞影响 18.12.14 之前的版本，18.12.15 版本解决了该漏洞。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

前言 实战可以大大提高自己，学习技术的目的就是能够在实战中运用。 本次实战与实际息息相关，该软件具有加密某文件的功能。 界面还挺好看的，功能很简单，输入文件和PIN(4位）进加解密。 这是被加密的文件 需要将其进行解密，拿到flag 思路 因为PIN是4位，因此可以写一个python脚本，对其进行爆破。 关键在于得出加密的算法，此时就需要我们进行逆向分析了 分析 先尝试进行加密 根据关键词：encrypted 进行定位 发现是我们需要的信息 跟踪进去，发现了花指令 去花指令 发现堆栈不平衡，将所有代码选中，然后C键，重新分析 发现了单指令花指令，无非nop掉即可 从头选到下一个函数开始的位置 按下C键 analyze即可 还是rust编译的 此时就可以分析函数了。处理其他函数也是相同的道理 初步分析 使用Fincrypto发现了salsa20加密 salsa20：32位字符构成的key，二是随机生成的8位nonce。算法使用key和nonce生成一个2^70长度的序列，并与明文进行异或加密 sub_140073A70 发现main_func就是获取我们的输入的文件内容 sub_140039890 而函数sub_140039890才是关键的加密函数 0x61707865、0x3320646E均为Salsa20算法的固定参数 解密 由于密码只有0000~9999这10000种可能 加密后文件名又是flag.png.enc，所以原文件是个png文件 使用png固有文件头89504E47来判断解密是否成功  Python    from Cryptodome.Cipher import Salsa20    cipher = open("flag.png.enc", "rb").read()  for i in range(10000):  key = str(i).rjust(4, '0').ljust(32, 'x00')  nonce = b'x24x24x24x24x24x24x24x24'  sal = Salsa20.new(key=key, nonce=nonce)  plain = sal.decrypt(cipher)  if plain.find(b"x89x50x4Ex47")>=0:  open("flag.png", "wb").write(plain)  break