【免费下载链接】DecepticonAutonomous Hacking Agent for Red Team项目地址https://gitcode.com/gh_mirrors/de/Decepticon点击查看免费下载本指南以 Decepticon 仓库内技能库 packages/decepticon/decepticon/skills/standard/exploit/crypto/SKILL.md 为核心骨架系统讲解红队与渗透测试场景下未知密文/编码 → 识别 → 解码 → 破解 → 汇入知识图谱的完整作业流程。你将掌握 Ciphey/Ares 自动破解、hashid 哈希类型识别、CyberChef 配方链、hashcat/john 模式速查、多层编码展开工作流以及如何将解码结果以kg_add_node的形式沉淀进 Decepticon 的 engagement 知识图谱供后续轮次的 Agent 复用。0. 技能定位从 frontmatter 看适用场景该技能文件的 YAML frontmatter 定义了它在 Decepticon 技能库中的身份与触发条件name: crypto-decode description: Cipher detection automated decryption via Ciphey, Cyberchef recipes, hashcat hash-ID, format conversion, common encoding chains. metadata: when_to_use: cipher decrypt decode base64 hex caesar rot vigenere xor unknown encoding identify ciphey hashid mitre_attack: T1140 subdomain: cryptanalysiswhen_to_use是技能调度器的关键词触发器只要任务上下文中出现cipher、decrypt、decode、base64、hex、caesar、rot、vigenere、xor、unknown encoding、identify、ciphey、hashid等词汇该技能就会被召回。这与 Decepticon 的技能注册机制一致——skills_registry.py 将每个SKILL.md解析为SkillRecordid、slug、name、description、source五元组其中slug取自尾目录或文件名本技能即cryptodescription直接取自 frontmatter。mitre_attack: T1140对应 MITRE ATTCK 的Deobfuscate/Decode Files or Information即去混淆/解码文件或信息技术。按照 docs/skill-schema.md 的规范metadata.subdomain必须存在于subdomains.yaml且cryptanalysis会被别名映射到规范名credential-access——从侧面说明解码成果通常服务于凭据与敏感信息获取链路。适用对象CTF flag、数据库泄漏字段、HTTP 流量中捕获的 token、被编码的 payload、移动端逆向出的字符串、固件中的硬编码密钥等一切看起来像乱码但可能藏着明文的东西。核心原则一句话先识别密文类别再选择对应工具绝不在识别前盲目爆破。1. 第一步永远是识别Identify FIRST拿到未知密文后按三类场景分别处置。1.1 未知文本 → 自动化破解器对于完全不知道编码/加密方式的文本直接交给 A* 搜索式自动解码器# Ciphey — 原版Python 实现维护节奏放缓 ciphey -t $CIPHERTEXT # Ares — Rust 重写版更快当前主力 ares -t $CIPHERTEXT两者的工作机理相同用A* 搜索算法在 16 个解码器之间进行状态空间搜索解码器覆盖 base64、base85、hex、Caesar、ROT-N、Atbash、Vigenere、XOR已知明文、URL 编码、binary、morse、brainfuck、esolang、leetspeak 等同时内置BERT 明文检测器判断什么时候该停——即解码结果是否已经是自然语言明文避免无限套娃解码。典型用法是先用ares快拿结果失败再回退ciphey这与下文第 6 节 Decepticon 集成的封装骨架完全对应。1.2 哈希 → 先识别类型再选择破解模式哈希与可逆编码不同目标是识别哈希族 → 匹配 hashcat 模式 → 离线爆破hashid -m $2a$12$.... # bcrypt 12 rounds hashid -m 5f4dcc3b5aa765d61d8327deb882cf99 # MD5 hash-identifierhashid -m会直接输出该哈希在 hashcat 中的 mode 编号省去手工对照hash-identifier则是另一个启发式识别工具适合脚本化管道。识别结果直接映射到本文第 4 节的 hashcat 模式速查表。1.3 特定格式的快速校验手头有明确格式线索时用三行命令快速验证# JWT三段式base64url解码前两段看 header/payload echo $TOKEN | cut -d. -f1-2 | tr _- / | base64 -d 2/dev/null # Hex → 字节 echo $HEX | xxd -r -p # Base64 → 字节兼容 URL-safe 变体 echo $B64 | tr _- / | base64 -d 2/dev/null # 多层编码逐层解开 echo $BLOB | base64 -d | base64 -d | xxd -r -p注意 JWT 与 Hex/Base64 属于可逆编码层与真正的加密AES 等是不同层次的问题——这也是本文档将 JWT 单列为交叉引用的原因见第 8 节。2. 古典密码特征速查表识别阶段最重要的依据是特征指纹。下表来自技能文档是肉眼/正则快速归类密文的核心参考CipherSignature特征签名Base64[A-Za-z0-9/]长度是 4 的倍数Base32[A-Z2-7]Hex[0-9a-fA-F]偶数长度Caesar/ROT仅 A-Z 空格适合频率分析攻击Vigenere仅 A-Z存在按密钥长度周期重复的 bigramIC 值偏离均匀分布Substitution仅 A-ZIC重合指数≈ 0.066英文文本特征Vernam/OTP字节呈随机分布无任何统计信号XOR fixed-key字节与可打印模式 XOR 后呈规律文件头泄漏是突破口Hill分组小、基于矩阵运算实际作业中的快速判别经验看到/、、结尾且长度为 4 的倍数 → 先按 Base64 解全是大写字母数字且是 2-7 字母表 → Base32纯 0-9a-f 偶数长度 → Hex纯字母且保留空格 → 直接上频率攻击Caesar/ROT/替换解出一层后仍是乱码 → 大概率是多层编码见第 5 节展开工作流。3. CyberChef 配方库把 GUI 工作流变成可复用的 recipeCyberChefGCHQ 开源的网络厨具是解码解码的 GUI 主力但其核心价值在于配方recipe可以导出为 JSON并以编程方式链式执行。常用配方链# 常见链 From Base64 / Magic / To Hex From Hex / XOR (Brute) / Magic AES Decrypt(KEY) / From Hex / Strings其中Magic操作是 CyberChef 的自动嗅探模块等效于 Ciphey 的识别并尝试XOR (Brute)提供暴力密钥搜索Strings用于在解密后的二进制里抽取可打印字符串。CLI 场景可使用社区移植的cyberchef-cli在终端直接执行 recipe JSON。实战建议把高频配方固化成 JSON 文件存进工作区作为团队的可复用资产对单条密文先用Magic自动尝试失败再手写配方逐步展开。4. 哈希破解快速参考hashcat 模式速查表这是全文档最常被回查的表格。hashcat 通过-m指定哈希类型识别环节hashid -m的输出直接落到这里ModeHash type0MD5100SHA-11400SHA-2561700SHA-5121000NTLM13100Kerberos TGS-REP (etype 23)19700Kerberos TGS-REP (etype 18)18200Kerberos AS-REP16500JWT (HS256)3200bcrypt7400sha256crypt$5$1800sha512crypt$6$22000WPA-EAPOLPMKID7100macOS v10.8 (PBKDF2-SHA512)82001Password Cloud Keychain配套执行命令规则文件加速低强度口令命中hashcat -m mode hashes.txt rockyou.txt -r best64.rule john --formatformat hashes.txt --wordlistrockyou.txt两点值得展开**模式 16500JWT HS256**与 Decepticon 的 web/jwt 技能 直接联动——弱 HMAC 密钥的 JWT 可以用hashcat -m 16500 jwt.txt rockyou.txt离线爆破服务账号常见弱密钥为dev/secret/changeme/公司名等模式。**Kerberos 三件套13100/19700/18200**对应 AD 域的 Kerberoasting / AS-REP Roasting / DCSync 产物即 ad/dcsync 技能 中secretsdump.py导出的 NT hash 后续破解环节。跨技能引用关系见第 8 节。5. Token / Blob 展开工作流未知令牌的完整处置顺序对 HTTP 流量中捕获的神秘 token不要上来就猜按固定流水线执行1. ciphey/ares → 揭示最外层编码 2. 若结果是结构化数据JSON / proto3 / msgpack→ 解析 3. 若仍是编码 → 重复步骤 1逐层展开 4. 查找 HMAC / 签名后缀 → 识别对称密钥候选 5. 若疑似对称加密 → 用常见密钥尝试 AES-CBC/GCM 应用名、secret、其他渠道暴露的环境变量等三个工程要点循环有界步骤 3 必须设置最大展开层数如 5 层防止对纯随机字节无限套娃——因为 OTP/真随机数据没有任何统计信号A* 搜索会在 BERT 检测器处自然停止签名优先步骤 4 的价值在于区分编码与MAC/签名。MD5(secret || message)这类弱 MAC 构造在 web/crypto 技能 中有 hash-length extension 的完整解法hashpump工具密钥来源枚举步骤 5 的常见密钥候选来自工程上下文——应用名、secret、.env中暴露的变量与 web/crypto 技能Step 0 — Key Discovery中grep -rn AES_KEY\|SECRET_KEY的源码级密钥发现流程互为补充。6. Decepticon 集成封装为工具并沉淀进知识图谱技能文档给出了将解码能力包装成 Decepticon 工具的骨架# decepticon/tools/crypto/decode.py — skeleton def crypto_decode(ciphertext: str, hint: str None, timeout: int 30) - dict: Try ares first (fast), fallback to ciphey, return best decode. import subprocess cmd [ares, -t, ciphertext] if hint: cmd [--language, hint] r subprocess.run(cmd, timeouttimeout, capture_outputTrue, textTrue) return { tool: ares, output: r.stdout, confidence: _parse_ares_confidence(r.stdout), }设计要点源码佐证先快后慢的降级策略cmd [ares, -t, ...]默认走 Rust 版 Ares快失败再回退 Ciphey慢但解码器更全——这与when_to_use中ciphey hashid的触发词保持一致hint参数--language hint传入语言提示帮助 A* 搜索与 BERT 明文检测器更快收敛timeout30subprocess 硬超时避免解码器卡死在无信号输入上。6.1 分类成功 → 提升到知识图谱解码成功后将结果作为artifact节点写入 engagement 知识图谱kg_add_node(kindartifact, labelfdecoded:{hash}, props{plaintext: result, encoding_chain: chain})kg_add_node是 Decepticon 内置的图工具实现在 tools/research/tools.pykind受NodeKind枚举校验artifact、host、vulnerability、credential、crown_jewel等均为合法 kind传入未知 kind 会返回错误并附合法列表upsert 语义 确定性keygraph.upsert_node(Node.make(...))按 props 中的确定性key如decoded:sha256去重同一密文重复解码不会产生重复节点跨轮次持久化图存储在 engagement 内持久化本轮的decoded:...节点可被下一轮 fresh-context 的 Agent 通过kg_query/kg_neighbors直接查询这是解码成果资产化的关键——因此技能文档特意要求把encoding_chain编码链写入 props方便后续复用整条解码链路配套kg_add_edge可与vulnerability、credential、crown_jewel等节点连线如extracts、compromises把解码出 API key提升为凭证获取的图路径——这与 ad/dcsync 技能 中kg_add_node(kindcredential, ...)kg_add_edge(..., kindextracts)的提权模式完全一致。6.2 技能如何被 Agent 加载Decepticon 的 Agent 通过load_skill工具读取技能正文见 tools/skills.py技能目录在打包后经importlib.resources注册为虚拟/skills/路径树skills_registry.py提供按完整路径、尾 slugcrypto→/skills/standard/exploit/crypto/SKILL.md或模糊匹配三种解析方式且对..穿越、反斜杠、非注册路径做硬性拒绝。也就是说Agent 只需说加载 crypto 技能即可命中本 playbook而无需触碰底层文件系统。7. 严重性分级解码之后怎么定性解码本身不是漏洞严重性取决于解码出的内容Decoded contentSeverityPlaintext passwordCritical取决于用户角色API key / private keyCriticalInternal hostname / IPMediumSession tokenHigh-CriticalEncryption keyCritical定性后应联动知识图谱写入kg_add_node(kindcredential, ...)、kg_add_node(kindvulnerability, ..., props{severity: critical})并生成证据链原始 blob、解码链、明文样本、严重性结论供报告环节引用。8. 交叉引用同一密码学战场上的三个技能本技能crypto-decodesubdomaincryptanalysisMITRE T1140专注未知密文的识别与解码与仓库内另外两个密码学相关技能互补而非重复技能文件主题与本技能的分工exploit/web/crypto/SKILL.mdWeb Crypto Exploitationpadding oracleVaudenay、AES-CBC 位翻转/IV 操作、AES-ECB 模式攻击、HMAC bypass、hash-length extension、JWT alg confusion本技能负责把 blob 解码出来web/crypto 负责攻击应用对密码学原语的使用错误其 Step 0 的源码密钥发现与本技能第 5 步常见密钥尝试直接衔接exploit/web/jwt/SKILL.mdJWT 攻击alg confusion、kid 注入、JWKS spoofing、弱 HMAC 密钥破解、签名剥离不同层次本技能只做 JWT 的 base64url 解码与格式识别cut -d. -f1-2 \| tr _- / \| base64 -dJWT 的算法级攻击看 jwt 技能ad/dcsync/SKILL.md 及 ad/SKILL.mdAD 哈希Kerberoasting、AS-REP Roasting、DCSync本技能提供 hashcat 模式速查13100/19700/18200/3200 等与破解命令AD 技能负责从域控提取哈希的流程两边在破解 NT hash / Kerberos 票据处汇合9. 已知典型场景Known Exemplars技能文档沉淀了四类高频实战场景均可用本 playbook 覆盖CTF flag约 90% 的 flag 只是 base64、hex 或 rot-N 的单一/多层包装ares -t秒解移动端逆向API key 常以 base64 再 XOR 的形式硬编码在二进制字符串中先用本技能解开外层编码再用 reversing/strings 工具 辅助定位IoT 固件AES-CBC 硬编码密钥常见配合 ghidra 反编译找到密钥后用本技能第 5 步的对称解密流程或 web/crypto 技能的离线解密脚本恢复明文钓鱼邮件混淆嵌套编码链base64→quoted-printable→rot是邮件混淆的常见套路第 5 节的逐层展开工作流正是为此设计。结语Crypto / Decode Playbook 的价值在于把识别 → 解码 → 破解 → 资产化四个环节固化为可复用的方法论识别层用特征签名速查表与hashid兜底解码层用ares/ciphey与 CyberChef recipe 链破解层用 hashcat 模式表最终通过kg_add_node把每个decoded:hash节点写进 engagement 知识图谱让解码成果跨轮次复用。实战中请始终遵守两条纪律先识别再动手避免盲爆破有界循环给所有自动化解码器与网络攻击脚本设置超时与请求预算相关纪律可进一步参考 web/crypto 技能的 Anti-Patterns 章节。赞分享【免费下载链接】DecepticonAutonomous Hacking Agent for Red Team项目地址https://gitcode.com/gh_mirrors/de/Decepticon点击查看免费下载相关推荐CipheyRust 版自动化解密引擎实战指南无需密钥识别编码、破解哈希与明文检测CipheyRust 版自动化解密引擎实战指南无需密钥识别编码、破解哈希与明文检测 导读 CipheyRust 版是一款无需知道密钥或密码、自动完CLI网络安全crypto-js客户端加密前端敏感数据保护crypto js客户端加密前端敏感数据保护 在当今Web应用中用户密码、支付信息等敏感数据在前端传输和存储时面临诸多安全风险。据OWASP安全报告显示约密码学告别加密报错crypto-js调试实战指南告别加密报错crypto js调试实战指南 crypto js是一个流行的JavaScript加密标准库提供了AES、MD5、SHA等多种加密算法实现。尽管密码学创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考