6.7 KiB
htARTE（HackTricks AWS Red Team Expert） htARTE（HackTricks AWS Red Team Expert）でAWSハッキングをゼロからヒーローまで学ぶ！
HackTricksをサポートする他の方法：
- HackTricksで企業を宣伝したいまたはHackTricksをPDFでダウンロードしたい場合は、SUBSCRIPTION PLANSをチェックしてください！
- 公式PEASS＆HackTricksスワッグを入手する
- The PEASS Familyを発見し、独占的なNFTsのコレクションを見つける
- **💬 Discordグループ**に参加するか、telegramグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローする
- ハッキングトリックを共有するために、HackTricksとHackTricks CloudのGitHubリポジトリにPRを提出する
ECB
(ECB) Electronic Code Book - ブロックごとにクリアテキストを暗号化する対称暗号化スキーム。これは最も単純な暗号化スキームです。主なアイデアは、クリアテキストをNビットのブロック（入力データのブロックサイズ、暗号化アルゴリズムに依存）に分割し、その後、唯一の鍵を使用して各クリアテキストブロックを暗号化（復号化）することです。
ECBを使用すると、複数のセキュリティ上の影響があります：
- 暗号化されたメッセージからブロックを削除できる
- 暗号化されたメッセージからブロックを移動できる
脆弱性の検出
アプリケーションに複数回ログインし、常に同じクッキーを取得すると想像してください。これは、アプリケーションのクッキーが**<username>|<password>であるためです。
次に、同じ長いパスワードを持つ新しいユーザーを2人生成し、ほぼ同じユーザー名を持つようにします。
両方のユーザーの情報が同じ8バイトのブロックであることがわかります。その後、これがECBが使用されている**ためかもしれないと考えます。
次の例のように、これらの2つのデコードされたクッキーには、何度もブロック**\x23U\xE45K\xCB\x21\xC8**が含まれていることに注意してください。
\x23U\xE45K\xCB\x21\xC8\x23U\xE45K\xCB\x21\xC8\x04\xB6\xE1H\xD1\x1E \xB6\x23U\xE45K\xCB\x21\xC8\x23U\xE45K\xCB\x21\xC8+=\xD4F\xF7\x99\xD9\xA9
\x23U\xE45K\xCB\x21\xC8\x23U\xE45K\xCB\x21\xC8\x04\xB6\xE1H\xD1\x1E \xB6\x23U\xE45K\xCB\x21\xC8\x23U\xE45K\xCB\x21\xC8+=\xD4F\xF7\x99\xD9\xA9
これは、クッキーのユーザー名とパスワードには、複数回文字 "a" が含まれていたためです。異なるブロックは、少なくとも1つの異なる文字（おそらく区切り記号 "|" またはユーザー名の必要な違い）を含んでいました。
攻撃者は、今や単に、フォーマットが <ユーザー名><区切り記号><パスワード> か <パスワード><区切り記号><ユーザー名> かを発見する必要があります。そのために、彼は単に類似して長いユーザー名とパスワードを持つ複数のユーザー名を生成し、フォーマットと区切り記号の長さを見つけるまで続けます:
| ユーザー名の長さ: | パスワードの長さ: | ユーザー名+パスワードの長さ: | デコード後のクッキーの長さ: |
|---|---|---|---|
| 2 | 2 | 4 | 8 |
| 3 | 3 | 6 | 8 |
| 3 | 4 | 7 | 8 |
| 4 | 4 | 8 | 16 |
| 7 | 7 | 14 | 16 |
脆弱性の悪用
ブロック全体の削除
クッキーのフォーマットを知っている場合（<ユーザー名>|<パスワード>）、ユーザー名 admin をなりすますために、aaaaaaaaadmin という新しいユーザーを作成し、クッキーを取得してデコードします:
\x23U\xE45K\xCB\x21\xC8\xE0Vd8oE\x123\aO\x43T\x32\xD5U\xD4
その前に作成されたユーザー名にのみ a が含まれているパターン \x23U\xE45K\xCB\x21\xC8 を見ることができます。
次に、最初の8Bブロックを削除すると、ユーザー名 admin 用の有効なクッキーが得られます:
\xE0Vd8oE\x123\aO\x43T\x32\xD5U\xD4
ブロックの移動
多くのデータベースでは、WHERE username='admin';を検索するのとWHERE username='admin ';を検索するのは同じです（余分なスペースに注意）。
したがって、ユーザーadminをなりすます別の方法は次のとおりです：
len(<username>) + len(<delimiter) % len(block)となるようなユーザー名を生成します。ブロックサイズが8Bの場合、usernameというユーザー名を生成できます。デリミターが|の場合、チャンク<username><delimiter>は8Bのブロックを2つ生成します。- 次に、なりすましたいユーザー名とスペースを含むブロック数を正確に埋めるパスワードを生成します。例：
admin
このユーザーのクッキーは3つのブロックで構成されます：最初の2つはユーザー名+デリミターのブロックであり、3番目は（ユーザー名を偽装している）パスワードのブロックです：username |admin
** その後、最初のブロックを最後のブロックで置き換えるだけで、ユーザーadminをなりすませることができます：admin |username**