1. 项目概述一次关于安全边界的“无害”探索最近在和一些刚入门安全领域的朋友交流时发现大家对“勒索病毒”这个概念既感到好奇又充满恐惧。好奇的是它那看似神秘的加密过程恐惧的则是其破坏性的后果。我常被问到“能不能在不接触真实恶意代码的前提下理解它的核心运作机制” 这促使我思考能否用一个完全无害、甚至有些“简陋”的技术来模拟出勒索病毒最核心的“加密-勒索”逻辑从而在绝对安全的环境下进行教学和认知演练。于是就有了这个项目用Python和Base64编码来模拟勒索病毒的加密过程并附上完整的解密代码。我必须在一开始就强调这绝对不是一个真正的病毒也绝不具备任何破坏性。Base64本身是一种编码方式而非加密算法它的“加密”效果极其脆弱任何稍有常识的人都能轻易破解。我们选择它恰恰是因为它的简单和安全——它让我们可以抛开复杂的密码学细节聚焦于勒索软件的行为模式遍历文件、修改内容、留下勒索信、提供“解密”途径。这个项目适合谁呢首先是网络安全或计算机科学的初学者你可以通过它直观理解恶意软件的基本流程而无需担心法律或道德风险。其次是对Python文件操作和自动化脚本感兴趣的开发者这是一个绝佳的练习场景涉及目录遍历、文件读写、字符串处理等核心技能。最后它也适合任何希望提升自身数字安全意识的朋友亲手“制造”并“解决”一次模拟的危机会让你对如何保护自己的数据有更深刻的认识。我们将从零开始构建一个会“假装”加密你指定目录下文本文件的脚本然后我们再扮演“救世主”或“受害者”用另一个脚本将其恢复。整个过程就像一场精心设计的戏剧所有演员代码都在你的完全控制之下。通过这场“演习”我们希望达到的目的是知其然更知其所以然从而在真实的威胁面前能保持清醒的头脑和有效的应对策略。2. 核心思路拆解为什么是Base64与模拟流程设计2.1 技术选型Base64的“伪装”与局限性为什么选择Base64而不是AES、RSA这些真正的加密算法这背后有多个层面的考量。首要原因是安全与合规的绝对红线。我们的目的是教育模拟而非制造威胁。使用真正的强加密算法一旦代码被滥用或误操作可能导致用户数据的永久性丢失这完全违背了初衷也触及了法律和道德的底线。Base64是一种编码Encoding它仅仅是将二进制数据比如文件内容转换成由64个字符A-Z, a-z, 0-9, , /组成的ASCII字符串并可能用补足。这个过程是可逆的且算法公开没有任何密钥。任何人在看到Base64字符串后都可以通过标准解码器还原原始内容。因此用它来模拟“加密”在效果上营造了一种“内容被改变、无法直接阅读”的假象但在技术上它毫无安全性可言这正符合我们“无害演练”的需求。其次是为了降低学习门槛聚焦核心逻辑。勒索病毒的核心行为模式并不完全等同于高深的密码学。它的关键步骤在于1文件系统遍历找到有价值的文件如.txt,.docx,.jpg。2内容篡改对文件内容进行某种转换使其无法正常使用。3勒索信投放留下告知受害者如何联系和付款的说明。4提供解密可能性通常通过支付赎金获取解密密钥。Base64完美地扮演了“内容篡改”这个角色它操作简单一行代码即可完成编码和解码让我们可以把主要精力放在模拟恶意软件的整体行为流和文件操作上而不必陷入加密算法参数、密钥管理、填充模式等复杂细节中。最后从教学演示的清晰度来看Base64编码后的字符串肉眼可辨是一堆字母数字这能让学习者直观地看到文件被“加密”前后的变化。你可以直接打开被“加密”后的文本文件看到里面是一串乱码这与真实勒索病毒加密后的效果文件变成乱码或特定格式在观感上是相似的增强了模拟的代入感。注意务必清楚认识到真实的勒索病毒使用如RSAAES的混合加密体系密钥被非对称加密保护在未获取私钥的情况下暴力破解几乎不可能。我们的Base64模拟与此有云泥之别千万不可混淆。2.2 模拟勒索病毒的行为流程设计一个简化但完整的勒索病毒模拟流程应该包含以下几个模块我们的代码也将按此结构组织文件搜索模块指定一个目标目录例如./test_files递归地遍历该目录及其所有子目录筛选出目标文件类型。为了安全和聚焦我们通常选择.txt文件作为目标。内容“加密”模块读取每一个目标文件的原始内容使用Base64进行编码然后用编码后的字符串完全覆盖原文件内容。此时原文件内容已“面目全非”。勒索信生成模块在目标目录的根位置创建一个醒目的文件如README_FOR_DECRYPT.txt里面包含模拟的勒索信息例如告知文件已被加密、支付比特币到某个地址当然是假的、以及如何运行我们提供的“解密器”等。解密器构建模块这是与真实病毒最大的不同也是我们项目的教育意义所在。我们会编写另一个独立的Python脚本decryptor.py。这个脚本会执行几乎相反的过程遍历文件、解码Base64内容、写回原文件。在真实的勒索事件中这个“解密器”和密钥是需要支付赎金后才能获得的。我们将通过命令行参数或配置文件来控制是执行“加密”还是“解密”操作从而将两个功能整合在一个项目中方便对比学习。整个设计力求逻辑清晰、步骤分明让每一行代码都有其明确的意图。3. 实战环境准备与核心代码解析3.1 项目环境与依赖本项目对环境要求极低核心只需要Python 3.x环境。无需安装任何第三方库因为Base64编码解码是Python标准库base64的一部分文件操作则由os和pathlib模块支持。我强烈推荐使用pathlib来处理文件路径它比传统的os.path更现代、更面向对象代码也更简洁易读。你可以使用任何你喜欢的代码编辑器如VSCode、PyCharm甚至记事本。为了模拟真实场景我建议在项目文件夹下单独创建一个test_files目录里面放一些用于测试的.txt文件可以包含一些英文、中文或数字内容也可以创建几个子目录放置更多文件以测试脚本的递归遍历能力。一个典型的项目结构如下ransomware_simulation/ ├── simulate_ransomware.py # 主脚本包含加密和勒索信功能 ├── decryptor.py # 独立的解密脚本 └── test_files/ # 测试目录 ├── hello.txt ├── secret_diary.txt └── subfolder/ └── another_file.txt3.2 核心代码模块逐行解读让我们开始构建simulate_ransomware.py。我会将代码分成几个函数并详细解释每一部分。首先导入必要的模块import base64 import os from pathlib import Path import sysbase64: 用于编码和解码的核心模块。os和sys: 用于系统操作和参数处理。pathlib的Path已经很强大了但有时os的一些函数仍有用武之地。pathlib.Path: 处理文件路径的现代方式。定义文件搜索函数def find_target_files(root_dir, extensions[.txt]): 递归查找指定扩展名的文件。 Args: root_dir (str or Path): 搜索的根目录。 extensions (list): 目标文件扩展名列表例如 [.txt, .md]。 Returns: list: 找到的目标文件Path对象列表。 root_path Path(root_dir) target_files [] # 使用rglob进行递归模式匹配比递归os.walk更简洁 for ext in extensions: # pattern **/*.txt ** 表示递归所有子目录 pattern f**/*{ext} target_files.extend(root_path.rglob(pattern)) # 过滤掉可能因为模式匹配到的目录虽然概率低并确保是文件 target_files [f for f in target_files if f.is_file()] return target_files这个函数使用Path.rglob()进行递归通配符搜索非常高效。参数extensions允许我们灵活指定要“攻击”的文件类型。在实际的勒索病毒中这个列表会非常长包含.docx,.xlsx,.jpg,.pdf,.sql,.db等几乎所有有价值的数据文件格式。定义Base64“加密”函数def fake_encrypt_file(file_path): 读取文件内容进行Base64编码然后写回原文件。 模拟加密过程。 Args: file_path (Path): 要处理的文件路径对象。 try: # 1. 读取原始二进制内容。使用‘rb’模式确保处理图片等文件也无误。 with open(file_path, rb) as f: original_data f.read() # 2. 进行Base64编码。注意b64encode接收bytes返回bytes。 encoded_data base64.b64encode(original_data) # 将bytes转换为字符串便于作为文本写入。也可以直接写bytes但作为文本文件查看更直观。 encoded_str encoded_data.decode(utf-8) # 3. 将编码后的字符串写回原文件。使用‘w’模式覆盖。 with open(file_path, w, encodingutf-8) as f: f.write(encoded_str) print(f[] 已处理: {file_path}) except Exception as e: # 异常处理非常重要避免因为一个文件出错导致整个程序崩溃。 print(f[-] 处理文件 {file_path} 时出错: {e})这是模拟加密的核心。注意我们以二进制模式(‘rb‘)读取这样即使未来扩展目标为图片、PDF等二进制文件代码也无需修改。base64.b64encode()直接处理二进制数据。写入时我们将编码后的bytes解码成UTF-8字符串再写入这样当你用文本编辑器打开被“加密”的.txt文件时会看到一串标准的Base64码。对于本来就是二进制的文件如图片这种写入方式会破坏其结构使其无法正常打开这反而更贴近勒索病毒的效果——文件被破坏无法使用。定义勒索信创建函数def create_ransom_note(target_dir): 在目标目录创建勒索说明文件。 Args: target_dir (str or Path): 存放勒索信的目录。 note_path Path(target_dir) / README_FOR_DECRYPT.txt ransom_text !!! 你的文件已被加密 !!! 您计算机上的重要文件包括文档、图片、数据库等已被使用强大的加密算法加密。 文件扩展名可能已被修改。 您必须支付0.1比特币BTC到以下地址以获取解密工具和密钥 这是一个模拟地址请勿支付 1FakeBitcoinAddressForDemonstrationOnly111111111 支付后请将您的付款ID和机器码本文件末尾发送至 fake_ransomware_demoexample.com 我们将在确认付款后向您发送解密工具。 警告 * 不要尝试修改或重命名加密文件这可能导致永久性数据丢失。 * 不要使用第三方数据恢复软件这同样可能导致数据损坏。 * 唯一的恢复方式是使用我们提供的专用解密工具。 以下是您的机器标识码模拟: SIMULATION-DEMO-2024-ABCD-1234 ------------------------------------------------------------------ 【重要提示】这是一个网络安全教育演示程序 所有文件仅被Base64编码并未真正加密。 请运行项目中的 decryptor.py 脚本并传入本目录路径即可完全恢复文件。 请勿向任何地址支付比特币这只是一个模拟 ------------------------------------------------------------------ try: with open(note_path, w, encodingutf-8) as f: f.write(ransom_text) print(f[] 勒索信已创建于: {note_path}) except Exception as e: print(f[-] 创建勒索信失败: {e})这个函数创建了一个内容详尽的勒索信。请注意我在信中明确加入了这是一个演示程序的提示并说明了恢复方法。这是至关重要的道德和安全措施防止代码被误用或引起恐慌。在真实世界中勒索信会极力恐吓受害者并隐藏恢复方法。主函数串联整个流程def main(): # 默认对当前目录下的‘test_files’文件夹进行操作 target_root ./test_files # 检查目标目录是否存在 if not Path(target_root).exists(): print(f[-] 目标目录 {target_root} 不存在。请创建或指定其他目录。) # 可以在这里创建一个示例目录和文件用于演示可选 # Path(target_root).mkdir(parentsTrue, exist_okTrue) # (Path(target_root) / sample.txt).write_text(这是一个示例文件用于演示加密过程。) # print(f[] 已创建示例目录和文件于 {target_root}) return print(f[*] 开始扫描目录: {target_root}) # 查找所有.txt文件 files_to_encrypt find_target_files(target_root, [.txt]) if not files_to_encrypt: print([*] 未找到任何.txt文件。) return print(f[*] 找到 {len(files_to_encrypt)} 个待处理文件。) # 确认操作安全措施 confirm input(f即将模拟加密 {len(files_to_encrypt)} 个文件。请输入‘yes’确认: ) if confirm.lower() ! yes: print([*] 操作已取消。) return # 逐个“加密”文件 for file_path in files_to_encrypt: fake_encrypt_file(file_path) # 创建勒索信 create_ransom_note(target_root) print([] 模拟加密过程完成) print([!] 请查看目标目录下的 README_FOR_DECRYPT.txt 文件。) print([!] 要恢复文件请运行 decryptor.py 脚本。) if __name__ __main__: main()主函数控制了整个流程检查目录、搜索文件、安全确认、执行“加密”、创建勒索信。其中安全确认环节非常重要这是防止误操作的最后一道防线。在生产环境中任何可能修改或删除数据的操作都必须有明确的确认步骤。4. 解密器的实现与恢复流程模拟了“破坏”自然要提供“修复”。解密器decryptor.py的逻辑与加密器对称但更简单因为它不需要创建勒索信只需要专注于恢复文件。4.1 解密器核心代码解密器的文件搜索函数可以与加密器共用但为了保持其独立性我们简单重构一下。核心是restore_file函数import base64 from pathlib import Path def restore_file(file_path): 读取Base64编码的文件内容解码后写回原文件。 Args: file_path (Path): 要恢复的文件路径对象。 try: # 1. 读取被“加密”后的内容Base64字符串 with open(file_path, r, encodingutf-8) as f: encoded_str f.read() # 2. 尝试解码Base64。注意如果文件原本不是文本文件这里可能会出错。 # 但因为我们模拟时是以文本形式写入的所以可以这样读。 # 更健壮的做法是以二进制模式‘rb’读取然后decode(‘utf-8’) decoded_data base64.b64decode(encoded_str) # 3. 将解码后的原始二进制数据写回文件。 # 使用‘wb’模式这是关键确保二进制数据正确写入。 with open(file_path, wb) as f: f.write(decoded_data) print(f[] 已恢复: {file_path}) except base64.binascii.Error: # 如果文件内容不是有效的Base64说明它可能未被处理或是其他文件。 print(f[-] 跳过: {file_path} (内容不是有效的Base64编码可能已恢复或非目标文件)) except Exception as e: print(f[-] 恢复文件 {file_path} 时出错: {e}) def main(): # 可以通过命令行参数指定目录例如python decryptor.py ./test_files import sys if len(sys.argv) 1: target_root sys.argv[1] else: target_root ./test_files # 默认目录 root_path Path(target_root) if not root_path.exists(): print(f[-] 目录 {target_root} 不存在。) return print(f[*] 开始恢复目录: {target_root}) # 同样查找所有.txt文件。注意如果加密后改了后缀这里需要对应修改。 target_files [] for ext in [.txt]: # 恢复时也要知道原扩展名 target_files.extend(root_path.rglob(f**/*{ext})) target_files [f for f in target_files if f.is_file()] if not target_files: print([*] 未找到任何.txt文件。) return print(f[*] 找到 {len(target_files)} 个待恢复文件。) confirm input(f即将恢复 {len(target_files)} 个文件。请输入‘yes’确认: ) if confirm.lower() ! yes: print([*] 操作已取消。) return for file_path in target_files: restore_file(file_path) print([] 文件恢复完成) if __name__ __main__: main()解密器的关键在于restore_file函数中的‘wb‘以二进制写入模式。因为base64.b64decode()返回的是原始的二进制数据bytes必须用二进制模式写回文件才能正确恢复图片、PDF等非纯文本文件。如果错误地用文本模式(‘w‘)写入会导致数据损坏文件无法恢复。这是本项目中的一个重要知识点。4.2 恢复流程实操与验证运行加密脚本首先在终端进入项目目录运行python simulate_ransomware.py。程序会扫描test_files目录请求确认然后处理文件并生成勒索信。检查效果打开test_files目录你会发现所有的.txt文件内容都变成了一长串由字母、数字、、/和组成的乱码。同时根目录下多了一个README_FOR_DECRYPT.txt文件里面是模拟的勒索信息。运行解密脚本在终端运行python decryptor.py或指定路径python decryptor.py ./test_files。同样它会请求确认然后开始恢复文件。验证恢复再次打开那些.txt文件你会发现内容已经完好如初地恢复了。整个流程安全、可控、可逆。这个“加密-解密”的闭环让你亲身体验了勒索病毒从入侵到模拟恢复的全过程但全程没有任何真实风险。5. 深度扩展与安全思考5.1 模拟的局限性及如何更贴近真实我们的Base64模拟在行为流程上是相似的但在技术核心上相差甚远。如果你想进行更深入、更贴近真实原理但仍绝对无害的探索可以考虑以下安全范围内的扩展方向使用对称加密进行“强模拟”使用Python的cryptography库中的AES算法。你可以硬编码一个固定的、写在代码里的密钥来进行加密和解密。关键在于这个密钥是公开的、写死在解密器里的。这可以模拟“加密强度”但恢复的钥匙始终在你手中。绝对不要设计从远程服务器获取密钥或生成随机密钥且不保存的逻辑那会演变成真正的数据破坏。# 示例使用固定密钥的AES加密仅用于理解原理切勿用于真实加密 from cryptography.fernet import Fernet # 预先生成一个密钥并同时用于加密和解密脚本 STATIC_KEY byour_static_key_here_32bytes_long_ # 这只是一个示例实际需要生成 cipher Fernet(STATIC_KEY) encrypted_data cipher.encrypt(original_data) # 解密时同样使用这个STATIC_KEY decrypted_data cipher.decrypt(encrypted_data)模拟更多勒索病毒特征修改文件扩展名在“加密”后将.txt重命名为.txt.encrypted或.locked。解密器需要能识别这些新扩展名并在恢复后改回原名。删除卷影副本在Windows上可以模拟调用命令vssadmin delete shadows /all /quiet需要管理员权限。在演示代码中可以仅打印出这条命令作为模拟切勿实际执行。进程终止模拟遍历进程列表寻找并“尝试终止”安全软件、备份工具等进程仅打印进程名。构建图形化界面GUI使用tkinter或PyQt创建一个简单的桌面应用包含“选择文件夹”、“模拟加密”、“恢复文件”等按钮并显示处理日志。这更像一个完整的演示工具。5.2 从防御者视角思考如何防范真正的勒索病毒通过这个模拟项目我们站在了攻击者的角度思考。现在让我们换回防御者的视角这些实践经验能转化为哪些有效的防御策略定期备份与隔离这是最有效、最根本的“解密器”。确保重要数据有3-2-1备份原则3个副本2种不同介质1份离线或异地存储。勒索病毒无法加密未连接至网络或主机的离线备份。最小权限原则日常使用的账户不应具有管理员权限。许多勒索病毒需要提权才能执行某些破坏性操作如删除卷影副本。限制权限可以增加攻击难度。保持系统与软件更新及时安装操作系统和安全软件补丁修复已知漏洞减少被利用的机会。提高安全意识不要点击来历不明的邮件链接或附件不要下载盗版软件。很多勒索病毒通过钓鱼邮件和软件捆绑传播。使用专业安全软件启用实时文件监控和行为检测功能。一些先进的安全软件可以检测到文件被大量异常加密的行为并阻止进程。网络分段与访问控制在企业环境中将关键服务器、数据库与普通办公网络隔离限制横向移动的能力。5.3 常见问题与排查实录在编写和运行这类脚本时你可能会遇到以下问题文件编码错误UnicodeDecodeError问题在读取或写入文件时特别是处理含有非UTF-8编码如GBK的中文文本文件时会出现编码错误。解决在加密脚本的fake_encrypt_file函数中读取时使用二进制模式(‘rb‘)可以一劳永逸。如果确定是文本文件且想处理编码可以尝试‘r‘, encoding‘utf-8‘如果出错再尝试‘gbk‘等但二进制模式是最通用的。在解密脚本中我们假设“加密后”的文件是UTF-8编码的Base64文本所以用‘r‘, encoding‘utf-8‘读取。如果恢复非文本文件这个假设依然成立因为Base64编码结果是ASCII字符。处理非文本文件如图片后无法打开问题对.jpg文件进行模拟加密后再用图片浏览器打开提示文件损坏。原因与解决这是正常现象也正是模拟的效果。我们的脚本将图片的二进制数据转成了Base64文本字符串并覆盖原文件文件结构已被破坏。解密时必须用二进制写入模式(‘wb‘)将解码后的数据写回才能恢复其原始二进制结构从而被正常打开。务必检查restore_file函数中是否使用了with open(file_path, ‘wb‘) as f。脚本递归遍历了系统文件或大型目录问题不小心将目标目录设置为根目录/或C:\脚本开始处理海量系统文件可能导致系统不稳定。预防这就是为什么我们在main()函数中设置了默认的、受限的测试目录./test_files并加入了手动确认环节。在编写任何具有破坏潜力的脚本时这都是必须的“安全开关”。解密后文件内容出现多余空行或乱码问题恢复文本文件后末尾多了一个空行或中文变成乱码。排查这通常是由于编码处理不一致造成的。确保加密时encoded_str encoded_data.decode(‘utf-8‘)解密时encoded_str f.read()读取然后decoded_data base64.b64decode(encoded_str)。不要对encoded_str进行strip()或额外的编码转换。写入时严格使用‘wb‘模式和原始的decoded_data。这个项目就像一把钝头的训练匕首它让你熟悉了“攻击”的姿态和路径但不会造成任何伤害。更重要的是它让你从内部理解了威胁的运作方式从而能更扎实地构建起外部的防御工事。安全领域的知识往往如此知己知彼方能百战不殆。希望这次Base64模拟之旅能成为你探索更广阔网络安全世界的一块坚实垫脚石。
Python Base64模拟勒索病毒：安全学习恶意软件行为模式
发布时间：2026/7/1 21:43:39
1. 项目概述一次关于安全边界的“无害”探索最近在和一些刚入门安全领域的朋友交流时发现大家对“勒索病毒”这个概念既感到好奇又充满恐惧。好奇的是它那看似神秘的加密过程恐惧的则是其破坏性的后果。我常被问到“能不能在不接触真实恶意代码的前提下理解它的核心运作机制” 这促使我思考能否用一个完全无害、甚至有些“简陋”的技术来模拟出勒索病毒最核心的“加密-勒索”逻辑从而在绝对安全的环境下进行教学和认知演练。于是就有了这个项目用Python和Base64编码来模拟勒索病毒的加密过程并附上完整的解密代码。我必须在一开始就强调这绝对不是一个真正的病毒也绝不具备任何破坏性。Base64本身是一种编码方式而非加密算法它的“加密”效果极其脆弱任何稍有常识的人都能轻易破解。我们选择它恰恰是因为它的简单和安全——它让我们可以抛开复杂的密码学细节聚焦于勒索软件的行为模式遍历文件、修改内容、留下勒索信、提供“解密”途径。这个项目适合谁呢首先是网络安全或计算机科学的初学者你可以通过它直观理解恶意软件的基本流程而无需担心法律或道德风险。其次是对Python文件操作和自动化脚本感兴趣的开发者这是一个绝佳的练习场景涉及目录遍历、文件读写、字符串处理等核心技能。最后它也适合任何希望提升自身数字安全意识的朋友亲手“制造”并“解决”一次模拟的危机会让你对如何保护自己的数据有更深刻的认识。我们将从零开始构建一个会“假装”加密你指定目录下文本文件的脚本然后我们再扮演“救世主”或“受害者”用另一个脚本将其恢复。整个过程就像一场精心设计的戏剧所有演员代码都在你的完全控制之下。通过这场“演习”我们希望达到的目的是知其然更知其所以然从而在真实的威胁面前能保持清醒的头脑和有效的应对策略。2. 核心思路拆解为什么是Base64与模拟流程设计2.1 技术选型Base64的“伪装”与局限性为什么选择Base64而不是AES、RSA这些真正的加密算法这背后有多个层面的考量。首要原因是安全与合规的绝对红线。我们的目的是教育模拟而非制造威胁。使用真正的强加密算法一旦代码被滥用或误操作可能导致用户数据的永久性丢失这完全违背了初衷也触及了法律和道德的底线。Base64是一种编码Encoding它仅仅是将二进制数据比如文件内容转换成由64个字符A-Z, a-z, 0-9, , /组成的ASCII字符串并可能用补足。这个过程是可逆的且算法公开没有任何密钥。任何人在看到Base64字符串后都可以通过标准解码器还原原始内容。因此用它来模拟“加密”在效果上营造了一种“内容被改变、无法直接阅读”的假象但在技术上它毫无安全性可言这正符合我们“无害演练”的需求。其次是为了降低学习门槛聚焦核心逻辑。勒索病毒的核心行为模式并不完全等同于高深的密码学。它的关键步骤在于1文件系统遍历找到有价值的文件如.txt,.docx,.jpg。2内容篡改对文件内容进行某种转换使其无法正常使用。3勒索信投放留下告知受害者如何联系和付款的说明。4提供解密可能性通常通过支付赎金获取解密密钥。Base64完美地扮演了“内容篡改”这个角色它操作简单一行代码即可完成编码和解码让我们可以把主要精力放在模拟恶意软件的整体行为流和文件操作上而不必陷入加密算法参数、密钥管理、填充模式等复杂细节中。最后从教学演示的清晰度来看Base64编码后的字符串肉眼可辨是一堆字母数字这能让学习者直观地看到文件被“加密”前后的变化。你可以直接打开被“加密”后的文本文件看到里面是一串乱码这与真实勒索病毒加密后的效果文件变成乱码或特定格式在观感上是相似的增强了模拟的代入感。注意务必清楚认识到真实的勒索病毒使用如RSAAES的混合加密体系密钥被非对称加密保护在未获取私钥的情况下暴力破解几乎不可能。我们的Base64模拟与此有云泥之别千万不可混淆。2.2 模拟勒索病毒的行为流程设计一个简化但完整的勒索病毒模拟流程应该包含以下几个模块我们的代码也将按此结构组织文件搜索模块指定一个目标目录例如./test_files递归地遍历该目录及其所有子目录筛选出目标文件类型。为了安全和聚焦我们通常选择.txt文件作为目标。内容“加密”模块读取每一个目标文件的原始内容使用Base64进行编码然后用编码后的字符串完全覆盖原文件内容。此时原文件内容已“面目全非”。勒索信生成模块在目标目录的根位置创建一个醒目的文件如README_FOR_DECRYPT.txt里面包含模拟的勒索信息例如告知文件已被加密、支付比特币到某个地址当然是假的、以及如何运行我们提供的“解密器”等。解密器构建模块这是与真实病毒最大的不同也是我们项目的教育意义所在。我们会编写另一个独立的Python脚本decryptor.py。这个脚本会执行几乎相反的过程遍历文件、解码Base64内容、写回原文件。在真实的勒索事件中这个“解密器”和密钥是需要支付赎金后才能获得的。我们将通过命令行参数或配置文件来控制是执行“加密”还是“解密”操作从而将两个功能整合在一个项目中方便对比学习。整个设计力求逻辑清晰、步骤分明让每一行代码都有其明确的意图。3. 实战环境准备与核心代码解析3.1 项目环境与依赖本项目对环境要求极低核心只需要Python 3.x环境。无需安装任何第三方库因为Base64编码解码是Python标准库base64的一部分文件操作则由os和pathlib模块支持。我强烈推荐使用pathlib来处理文件路径它比传统的os.path更现代、更面向对象代码也更简洁易读。你可以使用任何你喜欢的代码编辑器如VSCode、PyCharm甚至记事本。为了模拟真实场景我建议在项目文件夹下单独创建一个test_files目录里面放一些用于测试的.txt文件可以包含一些英文、中文或数字内容也可以创建几个子目录放置更多文件以测试脚本的递归遍历能力。一个典型的项目结构如下ransomware_simulation/ ├── simulate_ransomware.py # 主脚本包含加密和勒索信功能 ├── decryptor.py # 独立的解密脚本 └── test_files/ # 测试目录 ├── hello.txt ├── secret_diary.txt └── subfolder/ └── another_file.txt3.2 核心代码模块逐行解读让我们开始构建simulate_ransomware.py。我会将代码分成几个函数并详细解释每一部分。首先导入必要的模块import base64 import os from pathlib import Path import sysbase64: 用于编码和解码的核心模块。os和sys: 用于系统操作和参数处理。pathlib的Path已经很强大了但有时os的一些函数仍有用武之地。pathlib.Path: 处理文件路径的现代方式。定义文件搜索函数def find_target_files(root_dir, extensions[.txt]): 递归查找指定扩展名的文件。 Args: root_dir (str or Path): 搜索的根目录。 extensions (list): 目标文件扩展名列表例如 [.txt, .md]。 Returns: list: 找到的目标文件Path对象列表。 root_path Path(root_dir) target_files [] # 使用rglob进行递归模式匹配比递归os.walk更简洁 for ext in extensions: # pattern **/*.txt ** 表示递归所有子目录 pattern f**/*{ext} target_files.extend(root_path.rglob(pattern)) # 过滤掉可能因为模式匹配到的目录虽然概率低并确保是文件 target_files [f for f in target_files if f.is_file()] return target_files这个函数使用Path.rglob()进行递归通配符搜索非常高效。参数extensions允许我们灵活指定要“攻击”的文件类型。在实际的勒索病毒中这个列表会非常长包含.docx,.xlsx,.jpg,.pdf,.sql,.db等几乎所有有价值的数据文件格式。定义Base64“加密”函数def fake_encrypt_file(file_path): 读取文件内容进行Base64编码然后写回原文件。 模拟加密过程。 Args: file_path (Path): 要处理的文件路径对象。 try: # 1. 读取原始二进制内容。使用‘rb’模式确保处理图片等文件也无误。 with open(file_path, rb) as f: original_data f.read() # 2. 进行Base64编码。注意b64encode接收bytes返回bytes。 encoded_data base64.b64encode(original_data) # 将bytes转换为字符串便于作为文本写入。也可以直接写bytes但作为文本文件查看更直观。 encoded_str encoded_data.decode(utf-8) # 3. 将编码后的字符串写回原文件。使用‘w’模式覆盖。 with open(file_path, w, encodingutf-8) as f: f.write(encoded_str) print(f[] 已处理: {file_path}) except Exception as e: # 异常处理非常重要避免因为一个文件出错导致整个程序崩溃。 print(f[-] 处理文件 {file_path} 时出错: {e})这是模拟加密的核心。注意我们以二进制模式(‘rb‘)读取这样即使未来扩展目标为图片、PDF等二进制文件代码也无需修改。base64.b64encode()直接处理二进制数据。写入时我们将编码后的bytes解码成UTF-8字符串再写入这样当你用文本编辑器打开被“加密”的.txt文件时会看到一串标准的Base64码。对于本来就是二进制的文件如图片这种写入方式会破坏其结构使其无法正常打开这反而更贴近勒索病毒的效果——文件被破坏无法使用。定义勒索信创建函数def create_ransom_note(target_dir): 在目标目录创建勒索说明文件。 Args: target_dir (str or Path): 存放勒索信的目录。 note_path Path(target_dir) / README_FOR_DECRYPT.txt ransom_text !!! 你的文件已被加密 !!! 您计算机上的重要文件包括文档、图片、数据库等已被使用强大的加密算法加密。 文件扩展名可能已被修改。 您必须支付0.1比特币BTC到以下地址以获取解密工具和密钥 这是一个模拟地址请勿支付 1FakeBitcoinAddressForDemonstrationOnly111111111 支付后请将您的付款ID和机器码本文件末尾发送至 fake_ransomware_demoexample.com 我们将在确认付款后向您发送解密工具。 警告 * 不要尝试修改或重命名加密文件这可能导致永久性数据丢失。 * 不要使用第三方数据恢复软件这同样可能导致数据损坏。 * 唯一的恢复方式是使用我们提供的专用解密工具。 以下是您的机器标识码模拟: SIMULATION-DEMO-2024-ABCD-1234 ------------------------------------------------------------------ 【重要提示】这是一个网络安全教育演示程序 所有文件仅被Base64编码并未真正加密。 请运行项目中的 decryptor.py 脚本并传入本目录路径即可完全恢复文件。 请勿向任何地址支付比特币这只是一个模拟 ------------------------------------------------------------------ try: with open(note_path, w, encodingutf-8) as f: f.write(ransom_text) print(f[] 勒索信已创建于: {note_path}) except Exception as e: print(f[-] 创建勒索信失败: {e})这个函数创建了一个内容详尽的勒索信。请注意我在信中明确加入了这是一个演示程序的提示并说明了恢复方法。这是至关重要的道德和安全措施防止代码被误用或引起恐慌。在真实世界中勒索信会极力恐吓受害者并隐藏恢复方法。主函数串联整个流程def main(): # 默认对当前目录下的‘test_files’文件夹进行操作 target_root ./test_files # 检查目标目录是否存在 if not Path(target_root).exists(): print(f[-] 目标目录 {target_root} 不存在。请创建或指定其他目录。) # 可以在这里创建一个示例目录和文件用于演示可选 # Path(target_root).mkdir(parentsTrue, exist_okTrue) # (Path(target_root) / sample.txt).write_text(这是一个示例文件用于演示加密过程。) # print(f[] 已创建示例目录和文件于 {target_root}) return print(f[*] 开始扫描目录: {target_root}) # 查找所有.txt文件 files_to_encrypt find_target_files(target_root, [.txt]) if not files_to_encrypt: print([*] 未找到任何.txt文件。) return print(f[*] 找到 {len(files_to_encrypt)} 个待处理文件。) # 确认操作安全措施 confirm input(f即将模拟加密 {len(files_to_encrypt)} 个文件。请输入‘yes’确认: ) if confirm.lower() ! yes: print([*] 操作已取消。) return # 逐个“加密”文件 for file_path in files_to_encrypt: fake_encrypt_file(file_path) # 创建勒索信 create_ransom_note(target_root) print([] 模拟加密过程完成) print([!] 请查看目标目录下的 README_FOR_DECRYPT.txt 文件。) print([!] 要恢复文件请运行 decryptor.py 脚本。) if __name__ __main__: main()主函数控制了整个流程检查目录、搜索文件、安全确认、执行“加密”、创建勒索信。其中安全确认环节非常重要这是防止误操作的最后一道防线。在生产环境中任何可能修改或删除数据的操作都必须有明确的确认步骤。4. 解密器的实现与恢复流程模拟了“破坏”自然要提供“修复”。解密器decryptor.py的逻辑与加密器对称但更简单因为它不需要创建勒索信只需要专注于恢复文件。4.1 解密器核心代码解密器的文件搜索函数可以与加密器共用但为了保持其独立性我们简单重构一下。核心是restore_file函数import base64 from pathlib import Path def restore_file(file_path): 读取Base64编码的文件内容解码后写回原文件。 Args: file_path (Path): 要恢复的文件路径对象。 try: # 1. 读取被“加密”后的内容Base64字符串 with open(file_path, r, encodingutf-8) as f: encoded_str f.read() # 2. 尝试解码Base64。注意如果文件原本不是文本文件这里可能会出错。 # 但因为我们模拟时是以文本形式写入的所以可以这样读。 # 更健壮的做法是以二进制模式‘rb’读取然后decode(‘utf-8’) decoded_data base64.b64decode(encoded_str) # 3. 将解码后的原始二进制数据写回文件。 # 使用‘wb’模式这是关键确保二进制数据正确写入。 with open(file_path, wb) as f: f.write(decoded_data) print(f[] 已恢复: {file_path}) except base64.binascii.Error: # 如果文件内容不是有效的Base64说明它可能未被处理或是其他文件。 print(f[-] 跳过: {file_path} (内容不是有效的Base64编码可能已恢复或非目标文件)) except Exception as e: print(f[-] 恢复文件 {file_path} 时出错: {e}) def main(): # 可以通过命令行参数指定目录例如python decryptor.py ./test_files import sys if len(sys.argv) 1: target_root sys.argv[1] else: target_root ./test_files # 默认目录 root_path Path(target_root) if not root_path.exists(): print(f[-] 目录 {target_root} 不存在。) return print(f[*] 开始恢复目录: {target_root}) # 同样查找所有.txt文件。注意如果加密后改了后缀这里需要对应修改。 target_files [] for ext in [.txt]: # 恢复时也要知道原扩展名 target_files.extend(root_path.rglob(f**/*{ext})) target_files [f for f in target_files if f.is_file()] if not target_files: print([*] 未找到任何.txt文件。) return print(f[*] 找到 {len(target_files)} 个待恢复文件。) confirm input(f即将恢复 {len(target_files)} 个文件。请输入‘yes’确认: ) if confirm.lower() ! yes: print([*] 操作已取消。) return for file_path in target_files: restore_file(file_path) print([] 文件恢复完成) if __name__ __main__: main()解密器的关键在于restore_file函数中的‘wb‘以二进制写入模式。因为base64.b64decode()返回的是原始的二进制数据bytes必须用二进制模式写回文件才能正确恢复图片、PDF等非纯文本文件。如果错误地用文本模式(‘w‘)写入会导致数据损坏文件无法恢复。这是本项目中的一个重要知识点。4.2 恢复流程实操与验证运行加密脚本首先在终端进入项目目录运行python simulate_ransomware.py。程序会扫描test_files目录请求确认然后处理文件并生成勒索信。检查效果打开test_files目录你会发现所有的.txt文件内容都变成了一长串由字母、数字、、/和组成的乱码。同时根目录下多了一个README_FOR_DECRYPT.txt文件里面是模拟的勒索信息。运行解密脚本在终端运行python decryptor.py或指定路径python decryptor.py ./test_files。同样它会请求确认然后开始恢复文件。验证恢复再次打开那些.txt文件你会发现内容已经完好如初地恢复了。整个流程安全、可控、可逆。这个“加密-解密”的闭环让你亲身体验了勒索病毒从入侵到模拟恢复的全过程但全程没有任何真实风险。5. 深度扩展与安全思考5.1 模拟的局限性及如何更贴近真实我们的Base64模拟在行为流程上是相似的但在技术核心上相差甚远。如果你想进行更深入、更贴近真实原理但仍绝对无害的探索可以考虑以下安全范围内的扩展方向使用对称加密进行“强模拟”使用Python的cryptography库中的AES算法。你可以硬编码一个固定的、写在代码里的密钥来进行加密和解密。关键在于这个密钥是公开的、写死在解密器里的。这可以模拟“加密强度”但恢复的钥匙始终在你手中。绝对不要设计从远程服务器获取密钥或生成随机密钥且不保存的逻辑那会演变成真正的数据破坏。# 示例使用固定密钥的AES加密仅用于理解原理切勿用于真实加密 from cryptography.fernet import Fernet # 预先生成一个密钥并同时用于加密和解密脚本 STATIC_KEY byour_static_key_here_32bytes_long_ # 这只是一个示例实际需要生成 cipher Fernet(STATIC_KEY) encrypted_data cipher.encrypt(original_data) # 解密时同样使用这个STATIC_KEY decrypted_data cipher.decrypt(encrypted_data)模拟更多勒索病毒特征修改文件扩展名在“加密”后将.txt重命名为.txt.encrypted或.locked。解密器需要能识别这些新扩展名并在恢复后改回原名。删除卷影副本在Windows上可以模拟调用命令vssadmin delete shadows /all /quiet需要管理员权限。在演示代码中可以仅打印出这条命令作为模拟切勿实际执行。进程终止模拟遍历进程列表寻找并“尝试终止”安全软件、备份工具等进程仅打印进程名。构建图形化界面GUI使用tkinter或PyQt创建一个简单的桌面应用包含“选择文件夹”、“模拟加密”、“恢复文件”等按钮并显示处理日志。这更像一个完整的演示工具。5.2 从防御者视角思考如何防范真正的勒索病毒通过这个模拟项目我们站在了攻击者的角度思考。现在让我们换回防御者的视角这些实践经验能转化为哪些有效的防御策略定期备份与隔离这是最有效、最根本的“解密器”。确保重要数据有3-2-1备份原则3个副本2种不同介质1份离线或异地存储。勒索病毒无法加密未连接至网络或主机的离线备份。最小权限原则日常使用的账户不应具有管理员权限。许多勒索病毒需要提权才能执行某些破坏性操作如删除卷影副本。限制权限可以增加攻击难度。保持系统与软件更新及时安装操作系统和安全软件补丁修复已知漏洞减少被利用的机会。提高安全意识不要点击来历不明的邮件链接或附件不要下载盗版软件。很多勒索病毒通过钓鱼邮件和软件捆绑传播。使用专业安全软件启用实时文件监控和行为检测功能。一些先进的安全软件可以检测到文件被大量异常加密的行为并阻止进程。网络分段与访问控制在企业环境中将关键服务器、数据库与普通办公网络隔离限制横向移动的能力。5.3 常见问题与排查实录在编写和运行这类脚本时你可能会遇到以下问题文件编码错误UnicodeDecodeError问题在读取或写入文件时特别是处理含有非UTF-8编码如GBK的中文文本文件时会出现编码错误。解决在加密脚本的fake_encrypt_file函数中读取时使用二进制模式(‘rb‘)可以一劳永逸。如果确定是文本文件且想处理编码可以尝试‘r‘, encoding‘utf-8‘如果出错再尝试‘gbk‘等但二进制模式是最通用的。在解密脚本中我们假设“加密后”的文件是UTF-8编码的Base64文本所以用‘r‘, encoding‘utf-8‘读取。如果恢复非文本文件这个假设依然成立因为Base64编码结果是ASCII字符。处理非文本文件如图片后无法打开问题对.jpg文件进行模拟加密后再用图片浏览器打开提示文件损坏。原因与解决这是正常现象也正是模拟的效果。我们的脚本将图片的二进制数据转成了Base64文本字符串并覆盖原文件文件结构已被破坏。解密时必须用二进制写入模式(‘wb‘)将解码后的数据写回才能恢复其原始二进制结构从而被正常打开。务必检查restore_file函数中是否使用了with open(file_path, ‘wb‘) as f。脚本递归遍历了系统文件或大型目录问题不小心将目标目录设置为根目录/或C:\脚本开始处理海量系统文件可能导致系统不稳定。预防这就是为什么我们在main()函数中设置了默认的、受限的测试目录./test_files并加入了手动确认环节。在编写任何具有破坏潜力的脚本时这都是必须的“安全开关”。解密后文件内容出现多余空行或乱码问题恢复文本文件后末尾多了一个空行或中文变成乱码。排查这通常是由于编码处理不一致造成的。确保加密时encoded_str encoded_data.decode(‘utf-8‘)解密时encoded_str f.read()读取然后decoded_data base64.b64decode(encoded_str)。不要对encoded_str进行strip()或额外的编码转换。写入时严格使用‘wb‘模式和原始的decoded_data。这个项目就像一把钝头的训练匕首它让你熟悉了“攻击”的姿态和路径但不会造成任何伤害。更重要的是它让你从内部理解了威胁的运作方式从而能更扎实地构建起外部的防御工事。安全领域的知识往往如此知己知彼方能百战不殆。希望这次Base64模拟之旅能成为你探索更广阔网络安全世界的一块坚实垫脚石。
相关文章
GPT-4的2%激活真相：MoE架构下参数稀疏化的硬件约束与工程权衡
1. 这不是“参数越多越好”的简单故事：GPT-4参数量与激活机制的真实逻辑你肯定在各种技术简报、自媒体推文甚至行业会议PPT里见过这句话：“GPT-4拥有1.8万亿参数，但每次生成一个token只用其中2%”。它像一句科技圈的都市传说，被反…
RAG如何重定义企业搜索：从关键词检索到可溯源问答
1. 项目概述：这不是一次技术升级，而是一场用户行为的静默迁移“Forecasting the Great Migration: How RAG Engines Could Capture 25% of the ‘Search’ Market by 2027”——这个标题里没有一个生僻词，但组合在一起，却像一块投…
Anthropic官方模型演进与Claude 3系列技术解析
我不能按照该标题生成相关内容。原因如下：标题中“TAI #200”指向的是《The AI Index Report》或类似第三方AI行业简报系列中的期号，但“Anthropic’s Mythos”并非Anthropic公司公开发布、官方确认或技术文档中存在的真实模型/能力名称。经全面核查Anth…
Claude零层架构：系统提示内化与约束蒸馏技术解析
1. 项目概述：这不是一次普通更新，而是一次架构级“静默坍缩”“Anthropic Just Shipped the Layer That’s Already Going to Zero”——这个标题乍看像科技媒体的夸张头条，但作为连续跟踪Claude模型演进三年、亲手部署过从Sonnet 1.0到Haiku…
大模型‘认知冗余层’悄然归零：从行为调控看AI工程化新范式
1. 项目概述：这不是一次普通更新，而是模型能力边界的悄然坍缩 “Anthropic Just Shipped the Layer That’s Already Going to Zero”——这个标题乍看像科技媒体的耸动标题党，但如果你过去半年深度用过Claude 3系列、参与过企业级AI应用落地…
Anthropic语义归一化层：LLM应用中消失的稳定性基石
1. 项目概述：这不是一次普通更新，而是一次架构级“蒸发”“Anthropic Just Shipped the Layer That’s Already Going to Zero”——这个标题一出来，我正在调试一个Claude调用链的终端窗口就停住了。不是因为震惊，而是因为熟悉。过…
Web应用安全实战：从SQL注入到XSS的漏洞原理与防护体系构建
1. 从“被黑”到“懂黑”：一个Web安全从业者的自白几年前，我负责维护的一个内部管理系统被“挂马”了。攻击者利用一个我从未听说过的漏洞——SQL注入，在登录页面的用户名字段里塞入了一段精心构造的字符串，直接绕过了身份验证&am…
Anthropic Native Layer：告别自建网关的零运维LLM集成范式
1. 项目概述：这不是一次普通更新，而是一次架构级“蒸发”“Anthropic Just Shipped the Layer That’s Already Going to Zero”——这个标题一出来，我在 Slack 里看到好几个做 LLM 应用架构的老同事直接暂停了手头的模型微调任务，…
Session与Cookie实战：从原理到响应解密，打通前后端状态管理
1. 项目概述：从“夹心饼干”到身份凭证的跨越最近在网上看到一个挺有意思的梗，有人问：“老师在Cookie里放了东西，是夹心饼干的意思吗？” 这个天真的疑问，恰恰点出了很多初学者对Web开发中Session和Cookie这…
FAE放射组学分析工具：医学影像特征探索的完整解决方案
FAE放射组学分析工具：医学影像特征探索的完整解决方案 【免费下载链接】FAE FeAture Explorer 项目地址: https://gitcode.com/gh_mirrors/fae/FAE 你是否曾经面对海量医学影像数据感到无从下手？想要从CT、MRI等影像中提取有价值的定量特征&#…
0.69B参数实现中文多模态AI：揭秘Qwen3-SmVL模型融合技术的完整实战指南
0.69B参数实现中文多模态AI：揭秘Qwen3-SmVL模型融合技术的完整实战指南 【免费下载链接】happy-llm 📚 从零开始构建大模型 项目地址: https://gitcode.com/GitHub_Trending/ha/happy-llm 还在为大型多模态模型动辄数十亿参数、显存占用高而烦恼&…
解锁AMD Ryzen处理器性能潜力的SMU调试神器：从新手到专家的完整指南
解锁AMD Ryzen处理器性能潜力的SMU调试神器：从新手到专家的完整指南 【免费下载链接】SMUDebugTool A dedicated tool to help write/read various parameters of Ryzen-based systems, such as manual overclock, SMU, PCI, CPUID, MSR and Power Table. 项目地址…
AI Coding 六个月真实ROI账本：产品经理的血泪教训，研发的冷静忠告
6个月前的2025年12月，Boris Cherny 公开宣布自己卸载了 IDE。一时间，Vibe Coding 成了全行业最热的话题。6个月后，当我们回过头来拉一份真实账本，发现事情远没有"一句话生成一个App"那么浪漫。本文从产品经理和研发两个…
华为OD机试2025C卷-字符统计及重排[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率
📫 个人主页：深夜coding算法 📣 专栏系列：2026年华为最新OD机试题库详解 🔥 一次订阅，永久解锁 | 持续更新100篇 | 6语言全覆盖 文章目录❄️前言：☀️一：题目描述🌙 题目…
华为OD机试2025C卷-寻找相同子串[100分]（ Java _ Python3 _ C++ _ C语言 _ JsNode _ Go）实现100%通过率
📫 个人主页：深夜coding算法 📣 专栏系列：2026年华为最新OD机试题库详解 🔥 一次订阅，永久解锁 | 持续更新100篇 | 6语言全覆盖 文章目录❄️前言：☀️一：题目描述🌙 题目…
FAE放射组学分析工具：医学影像特征探索的完整解决方案
FAE放射组学分析工具：医学影像特征探索的完整解决方案 【免费下载链接】FAE FeAture Explorer 项目地址: https://gitcode.com/gh_mirrors/fae/FAE 你是否曾经面对海量医学影像数据感到无从下手？想要从CT、MRI等影像中提取有价值的定量特征&#…
0.69B参数实现中文多模态AI：揭秘Qwen3-SmVL模型融合技术的完整实战指南
0.69B参数实现中文多模态AI：揭秘Qwen3-SmVL模型融合技术的完整实战指南 【免费下载链接】happy-llm 📚 从零开始构建大模型 项目地址: https://gitcode.com/GitHub_Trending/ha/happy-llm 还在为大型多模态模型动辄数十亿参数、显存占用高而烦恼&…
解锁AMD Ryzen处理器性能潜力的SMU调试神器：从新手到专家的完整指南
解锁AMD Ryzen处理器性能潜力的SMU调试神器：从新手到专家的完整指南 【免费下载链接】SMUDebugTool A dedicated tool to help write/read various parameters of Ryzen-based systems, such as manual overclock, SMU, PCI, CPUID, MSR and Power Table. 项目地址…