hacktricks/cryptography/padding-oracle-priv.md

{% hint style="success" %} 学习并练习AWS Hacking：HackTricks 培训 AWS 红队专家 (ARTE)
学习并练习GCP Hacking: HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

• 检查订阅计划!
• 加入 💬 Discord 群组 或 telegram 群组 或 关注我们的 Twitter 🐦 @hacktricks_live.
• 通过向 HackTricks 和 HackTricks Cloud github 仓库提交 PR 来分享黑客技巧。

{% endhint %}

CBC - 密码块链接

在 CBC 模式中，前一个加密块被用作 IV 与下一个块进行异或运算：

要解密 CBC，需要执行相反的操作：

请注意，需要使用一个加密密钥和一个IV。

消息填充

由于加密是以固定大小的块进行的，通常需要在最后一个块中进行填充以完成其长度。
通常使用 PKCS7，它生成一个填充，重复所需的字节数以完成块。例如，如果最后一个块缺少 3 个字节，填充将是 \x03\x03\x03。

让我们看看一个长度为 8 字节的 2 个块的更多示例：

byte #0	byte #1	byte #2	byte #3	byte #4	byte #5	byte #6	byte #7	byte #0	byte #1	byte #2	byte #3	byte #4	byte #5	byte #6	byte #7
P	A	S	S	W	O	R	D	1	2	3	4	5	6	0x02	0x02
P	A	S	S	W	O	R	D	1	2	3	4	5	0x03	0x03	0x03
P	A	S	S	W	O	R	D	1	2	3	0x05	0x05	0x05	0x05	0x05
P	A	S	S	W	O	R	D	0x08	0x08	0x08	0x08	0x08	0x08	0x08	0x08

请注意，在最后一个示例中，最后一个块已满，因此另一个仅带填充的块被生成。

填充 Oracle

当应用程序解密加密数据时，它将首先解密数据；然后将删除填充。在清除填充时，如果无效的填充触发可检测的行为，则存在填充 Oracle 漏洞。可检测的行为可以是一个错误，缺少结果或响应较慢。

如果检测到这种行为，您可以解密加密数据甚至加密任何明文。

如何利用

您可以使用 https://github.com/AonCyberLabs/PadBuster 来利用这种漏洞，或者只需执行

sudo apt-get install padbuster

为了测试一个网站的 cookie 是否存在漏洞，你可以尝试：

perl ./padBuster.pl http://10.10.10.10/index.php "RVJDQrwUdTRWJUVUeBKkEA==" 8 -encoding 0 -cookies "login=RVJDQrwUdTRWJUVUeBKkEA=="

编码 0 意味着使用 base64（但其他选项也可用，请查看帮助菜单）。

您还可以滥用此漏洞来加密新数据。例如，假设 cookie 的内容是 "user=MyUsername"，然后您可以将其更改为 "_user=administrator_" 并在应用程序内提升权限。您也可以使用 paduster 并指定 `-plaintext 参数来执行此操作：

perl ./padBuster.pl http://10.10.10.10/index.php "RVJDQrwUdTRWJUVUeBKkEA==" 8 -encoding 0 -cookies "login=RVJDQrwUdTRWJUVUeBKkEA==" -plaintext "user=administrator"

如果网站存在漏洞，padbuster将在出现填充错误时自动尝试查找，但您也可以使用**-error**参数指定错误消息。

perl ./padBuster.pl http://10.10.10.10/index.php "" 8 -encoding 0 -cookies "hcon=RVJDQrwUdTRWJUVUeBKkEA==" -error "Invalid padding"

理论

总结：您可以通过猜测可以用来创建所有不同填充的正确值来开始解密加密数据。然后，填充预言攻击将从末尾向开头开始解密字节，猜测哪个值将是创建填充为1、2、3等的正确值。

假设您有一些加密文本，占据了由E0到E15字节组成的2个块。
为了解密最后一个块（E8到E15），整个块通过“块密码解密”生成中间字节I0到I15。
最后，每个中间字节都与先前加密的字节（E0到E7）进行XOR运算。因此：

• C15 = D(E15) ^ E7 = I15 ^ E7
• C14 = I14 ^ E6
• C13 = I13 ^ E5
• C12 = I12 ^ E4
• ...

现在，可以修改E7直到C15为0x01，这也将是一个正确的填充。因此，在这种情况下：\x01 = I15 ^ E'7

因此，找到E'7，就可以计算I15：I15 = 0x01 ^ E'7

这使我们能够计算C15：C15 = E7 ^ I15 = E7 ^ \x01 ^ E'7

知道C15，现在可以计算C14，但这次是通过暴力破解填充\x02\x02。

这个BF与前一个一样复杂，因为可以计算出值为0x02的E''15：E''7 = \x02 ^ I15，所以只需要找到生成**C14等于0x02的E'14。
然后，执行相同的步骤来解密C14：C14 = E6 ^ I14 = E6 ^ \x02 ^ E''6**

按照这个链条继续，直到解密整个加密文本。

漏洞检测

注册一个帐户并使用该帐户登录。
如果您多次登录并始终获得相同的cookie，则应用程序可能存在问题。每次登录时发送回的cookie应该是唯一的。如果cookie始终是相同的，那么它可能始终有效，无法使其失效。

现在，如果您尝试修改cookie，您会看到应用程序返回一个错误。
但是，如果您使用填充预言（例如使用padbuster）进行BF，您将成功获得另一个适用于不同用户的有效cookie。这种情况很可能对padbuster易受攻击。

参考

• https://en.wikipedia.org/wiki/Block_cipher_mode_of_operation