【WeChall】 Training：GPG

Posted on 2019-05-01 Edited on 2021-09-30 In InfoSec , Crypto Views:

0x00 前言

本题要求使用 GPG 为邮件通讯内容设置加密功能，一是为了保证邮件内容的机密性，二是为了让用户熟悉 GPG 的基本使用方法。

本题的解决过程如下：先使用 GPG 生成公私钥对，在 WeChall 的账户设置中将公钥上传，接着 WeChall 会向用户邮箱发送一封加密邮件，解密后得到一条用于确认公钥有效性的验证链接，点击并完成公钥设置。最后，回到题目链接，点击按钮后 WeChall 会再发送一封加密邮件，解密后即可得到 flag。

备注：本题主要操作在虚拟机的 Kali Linux 2018.2 系统中完成，其中自带的 GPG 版本为 2.2.5，辅助操作在本机的 Windows 7 系统中完成。

题目链接：https://www.wechall.net/challenge/training/crypto/gpg/index.php

question

0x01 生成公私钥对

GPG（GNU Privacy Guard）自由软件基金会 GNU 计划中的一款加密软件，其中包含了多种对称加密算法、非对称加密算法、数字签名算法、杂凑算法等，目的是替代 1991 年 Phil Zimmermann 开发的商业加密软件 PGP（Pretty Good Privacy），给普通用户的通讯信息提供安全保护。

在 GPG 2.2.5 版本中，生成公私钥对有两个参数：--generate-key 与 --full-generate-key。前者是快速生成密钥对，只需填入用户 ID 与邮箱以标识身份，默认使用 3072 位的 RSA 算法，有效期 2 年；后者是完全生成密钥对，还提供了密钥种类、密钥长度、密钥有效期等设置。

在达到我们需求的情况下，操作越简洁越好，此处选择 --generate-key 参数快速生成密钥对。填入用户 ID 与邮箱后，要求在弹框内输入授权口令，以保证私钥的合法使用，最后需要敲打键盘或移动鼠标，给随机数的生成提供足够的信息熵。快速生成密钥对的过程如下：

gen

公私钥对生成后，通过 --list-keys 参数可查看公钥信息，--list-secret-keys 参数可查看私钥信息，--list-signatures 参数可查看签名信息：

list

0x02 验证公钥有效性

首先，输出公钥文件，其中 --armor 参数指定以 ASCII 格式输出公钥，--output 参数指定输出文件名，--export 参数指定用户 ID：

1 2	# Export ciphersaw's public key in ASCII format gpg --armor --output pubkey --export ciphersaw

输出的公钥具有特定的存储格式：

接下来，将上述公钥复制到 WeChall 的账户设置中，点击 Upload Key 上传公钥：

setup

WeChall 会向用户邮箱发送一封用此公钥加密后的邮件：

encrypted-auth

注意，邮件内容不符合加密数据的存储格式，需要将其调整为标准格式：

将此加密数据保存为文件 auth，在 Kali Linux 下进行解密：

1 2	# Decrypt the encrypted data from WeChall gpg --output auth.html --decrypt auth

其中 --output 参数指定解密后的输出文件名，--decrypt 参数需要解密的文件。注意，执行命令后要求输入私钥的授权口令，避免私钥被非法滥用。

解密后用浏览器打开 auth.html，发现明文邮件原来是一条验证链接：

auth

最后，点击链接跳转至 WeChall，提示公钥已成功存储，并且可以正常使用：

success

0x03 解密获得 flag

回到题目链接，点击 Send me encrypted mail please 后，WeChall 会将公钥加密过的 flag 发送至用户邮箱：

同样地，将加密数据调整为标准格式：

将此加密数据保存为文件 flag，同样在 Kali Linux 下进行解密：

1 2	# Decrypt the encrypted flag from WeChall gpg --output flag.html --decrypt flag

解密后用浏览器打开 flag.html，即可获得 flag：

0x04 小结

本题只涉及到 GPG 的基本命令，让我们学会了如何生成公私钥对，以及如何加解密数据。

更全面的使用方法还需要继续专研实践，以下是几篇关于 GPG 的参考文章：

GPG入门教程
 The GNU Privacy Guard
GPG密钥的生成与使用