搜索

[14221] 2019-06-12_对称加密与攻击案例分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-06-12_对称加密与攻击案例分析 对 称 加 密 与 攻 击 案 例 分 析 有 价 值 炮 灰   F r e e B u f   2 0 1 9 - 0 6 - 1 2 本 文 主 要 介 绍 常 见 的 对 称 加 密 算 法 和 它 们 的 原 理 ， 然 后 分 析 一 些 实 际 存 在 的 密 码 学 攻 击 案 例 ， 包 括 流 加 密 密 钥 重 用 漏 洞 、 本 文 主 要 介 绍 常 见 的 对 称 加 密 算 法 和 它 们 的 原 理 ， 然 后 分 析 一 些 实 际 存 在 的 密 码 学 攻 击 案 例 ， 包 括 流 加 密 密 钥 重 用 漏 洞 、 E C B 块 重 排 攻 块 重 排 攻 击 以 及 击 以 及 C B C 的 的 P a d d i n g   O r a c l e 攻 击 等 。 攻 击 等 。 对 称 加 密 对 称 加 密 当 今 我 们 所 使 用 的 加 密 算 法 ， 大 致 可 以 分 为 两 类 ， 即 对 称 加 密 与 非 对 称 加 密 。 其 中 对 称 加 密 所 能 加 密 的 内 容 长 度 一 般 受 密 钥 长 度 的 限 制 ， 且 加 密 速 度 较 慢 ， 因 此 通 常 会 与 对 称 加 密 算 法 结 合 使 用 ， 即 使 用 对 称 加 密 来 对 明 文 进 行 加 密 ， 再 使 用 私 钥 对 对 称 加 密 的 密 钥 进 行 加 密 。 本 文 主 要 关 注 对 称 加 密 。 对 称 加 密 在 消 息 通 信 的 两 端 共 享 相 同 密 钥 ， 加 密 算 法 一 般 分 为 两 种 类 型 ： 流 加 密 （ S t r e a m   C i p h e r s ） ： 逐 字 节 加 密 数 据 块 加 密 （ B l o c k   C i p h e r s ） ： 逐 块 加 密 数 据 其 中 块 加 密 的 块 大 小 与 具 体 加 密 算 法 的 实 现 有 关 ， 常 见 的 块 大 小 有 1 2 8 、 2 5 6 位 等 。 流 加 密 流 加 密 流 加 密 会 逐 字 节 加 密 数 据 ， 最 常 见 的 流 加 密 算 法 就 是 S S L 中 用 到 的 R C 4 算 法 了 。 其 本 质 上 是 以 密 钥 为 种 子 （ s e e d ） 产 生 的 随 机 数 来 对 明 文 进 行 逐 字 节 异 或 。 流 加 密 本 质 上 依 赖 于 随 机 数 生 成 器 的 随 机 性 ， 其 随 机 性 越 强 ， 加 密 强 度 就 越 大 。 块 加 密 块 加 密 块 加 密 也 称 为 分 组 加 密 ， 也 是 大 多 数 人 比 较 熟 悉 的 。 A E S 、 D E S 、 3 D E S 、 T o w f i s h 等 常 见 的 加 密 算 法 都 是 块 加 密 。 在 块 加 密 中 ， 原 始 数 据 会 被 分 割 成 若 干 个 大 小 为 N 的 块 ， 并 分 别 对 这 些 块 进 行 加 密 。 由 于 我 们 不 能 保 证 数 据 是 N 的 倍 数 ， 因 此 需 要 对 数 据 进 行 填 充 （ P a d d i n g ） ， 这 增 加 了 实 现 的 复 杂 度 。 一 般 来 说 ， 与 流 加 密 相 反 ， 块 加 密 的 解 密 流 程 和 加 密 流 程 往 往 是 不 同 的 。 P a d d i n g 一 种 常 见 的 填 充 方 式 是 不 论 数 据 大 小 是 否 对 齐 块 边 界 ， 都 进 行 填 充 ， 而 填 充 的 内 容 为 填 充 的 字 节 数 。 比 如 块 大 小 为 8 字 节 ， 那 么 可 能 有 以 下 填 充 ： ‘ A A A A A A A ’   +   ‘ x 0 1 ’ ‘ A A A A A A ’   +   ‘ x 0 2 x 0 2 ’ … ‘ A A ’   +   ‘ x 0 6 ’   *   6 ‘ A ’   +   ‘ x 0 7 ’   *   7 ‘ x 0 8 ’   *   8 这 就 是 P K C S # 7 中 所 定 义 的 填 充 方 式 。 加 密 模 式 加 密 模 式 块 加 密 算 法 对 数 据 进 行 逐 块 加 密 ， 有 很 多 加 密 模 式 （ m o d e ） 用 于 实 现 块 的 加 密 。 这 些 加 密 模 式 大 都 可 以 归 类 为 两 种 ， 即 E C B 模 式 和 C B C 模 式 。 E C B E C B 全 称 为 ， 是 块 加 密 中 比 较 简 单 的 加 密 模 式 。 在 E C B 模 式 中 ， 每 一 块 明 文 数 据 都 被 独 立 地 进 行 加 密 来 生 成 加 密 块 。 这 意 味 着 如 果 你 发 现 两 个 加 密 块 有 相 同 的 内 容 ， 那 么 就 可 以 确 定 这 两 个 加 密 块 的 原 文 也 是 相 同 的 。 这 看 起 来 好 像 没 什 么 大 不 了 的 ， 但 我 们 可 以 考 虑 这 么 一 种 情 况 ， 比 如 要 加 密 的 对 象 是 一 张 图 像 ， 我 们 使 用 E C B 加 密 算 法 ， 并 且 设 置 块 大 小 为 8 字 0   x o r   0   =   0 0   x o r   1   =   1 1   x o r   0   =   1 1   x o r   1   =   0 E l e c t r o n i c   C o d e B o o k
节 （ D E S ） ， 加 密 后 的 图 像 如 下 ： 虽 然 和 原 图 有 所 区 别 ， 但 也 足 以 明 显 地 看 出 原 图 的 大 致 内 容 。 C B C C B C 全 称 为 ， 算 是 最 常 见 的 块 加 密 模 式 了 。 在 C B C 模 式 中 ， 每 个 明 文 块 都 会 在 加 密 前 被 使 用 前 一 个 明 文 块 的 秘 文 进 行 异 或 ； 解 密 过 程 则 正 好 相 反 。 其 中 第 一 个 明 文 块 会 被 使 用 I V 即 初 始 化 向 量 进 行 异 或 。 由 于 C B C 模 式 中 各 个 块 会 相 互 链 接 ， 在 第 一 个 加 密 块 （ B l o c k 0 ） 中 翻 转 某 一 位 ， 则 会 在 解 密 后 导 致 对 应 的 下 一 个 下 一 个 明 文 块 中 （ B l o c k 1 ） 相 同 的 位 进 行 翻 转 。 这 项 特 性 也 导 致 了 许 多 有 趣 的 b u g ， 后 面 会 说 到 。 常 见 攻 击 常 见 攻 击 下 面 我 们 来 介 绍 一 下 在 现 实 中 很 常 见 的 一 些 加 密 算 法 缺 陷 所 导 致 的 攻 击 场 景 。 流 加 密 重 用 攻 击 流 加 密 重 用 攻 击 C i p h e r - B l o c k   C h a i n i n g
也 常 称 为 ， 指 多 次 使 用 相 同 的 流 加 密 密 钥 可 导 致 明 文 泄 露 。 前 面 说 过 ， 流 加 密 实 际 上 是 使 用 密 钥 生 成 随 机 序 列 ， 然 后 用 该 序 列 来 对 明 文 逐 位 异 或 加 密 。 假 设 生 成 的 随 机 序 列 为 ， 加 密 函 数 为 ， 那 么 对 于 明 文 A 、 B 来 说 ， 则 ： 进 行 简 单 的 数 学 运 算 ： 这 意 味 着 如 果 攻 击 者 可 以 拿 到 A 、 B 的 密 文 E ( A ) 、 E ( B ) ， 以 及 攻 击 者 自 己 的 明 文 B ， 就 可 以 在 无 需 知 道 密 钥 的 情 况 下 计 算 出 A 的 明 文 ： 眼 见 为 实 ， 我 们 使 用 R C 4 流 加 密 为 示 例 ， 首 先 使 用 o p e n s s l 生 成 两 个 文 件 的 密 文 （ 使 用 相 同 密 钥 ） ： 接 着 ， 在 已 知 、 以 及 的 情 况 下 ， 还 原 的 内 容 ： 输 出 ： 在 密 钥 未 知 的 情 况 下 ， 依 然 成 功 还 原 了 的 明 文 内 容 。 防 御 这 种 攻 击 的 方 法 就 是 尽 可 能 不 要 重 用 流 加 密 的 密 钥 ， 常 见 的 实 现 是 在 加 密 前 将 密 钥 与 随 机 数 n o n c e 进 行 运 算 。 E C B 块 重 排 攻 击 块 重 排 攻 击 前 文 说 过 ， 在 块 加 密 中 E C B 模 式 中 每 个 块 都 是 独 立 加 密 的 。 因 此 攻 击 者 可 以 在 未 知 密 钥 的 情 况 下 ， 对 密 文 中 的 块 进 行 重 新 排 列 ， 组 合 成 合 法 的 可 解 密 的 新 密 文 。 S t r e a m   C i p h e r   R e u s e   A t t a c k C ( K ) E ( ) E ( A )   =   A   x o r   C E ( B )   =   B   x o r   C E ( A )   x o r   E ( B )   =   ( A   x o r   C )   x o r   ( B   x o r   C )   =   A   x o r   B   x o r   C   x o r   C   =   A   x o r   B A   =   E ( A )   x o r   E ( B )   x o r   B $   c a t   1 . t x t h e l l o $   c a t   2 . t x t w o r l d $   o p e n s s l   r c 4   - n o s a l t   - i n   1 . t x t   >   1 . e n c $   o p e n s s l   r c 4   - n o s a l t   - i n   2 . t x t   >   2 . e n c 1 . e n c 2 . e n c 2 . t x t 1 . t x t # ! / u s r / b i n / e n v   p y t h o n 3 d e f   l o a d ( f i l e ) :         w i t h   o p e n ( f i l e ,   ' r b ' )   a s   f :                 d a t a   =   f . r e a d ( )         p r i n t ( ' l o a d e d ' ,   l e n ( d a t a ) ,   ' b y t e s   f r o m ' ,   f i l e )         r e t u r n   d a t a d e f   x o r ( l h s ,   r h s ) :         r e t u r n   b y t e s ( a   ^   b   f o r   a ,   b   i n   z i p ( l h s ,   r h s ) ) #     A   =   l o a d ( ' . / 1 . t x t ' ) A _ e n c   =   l o a d ( ' . / 1 . e n c ' ) B   =   l o a d ( ' . / 2 . t x t ' ) B _ e n c   =   l o a d ( ' . / 2 . e n c ' ) p r i n t ( ' E ( A )   = ' ,   A _ e n c ) p r i n t ( ' E ( B )   = ' ,   B _ e n c ) p r i n t ( ' B   = ' ,   B ) p r i n t ( ' A   = ' ,   x o r ( x o r ( B ,   B _ e n c ) ,   A _ e n c ) ) $   p y t h o n 3   s t r e a m . p y l o a d e d   6   b y t e s   f r o m   . / 1 . e n c l o a d e d   6   b y t e s   f r o m   . / 2 . t x t l o a d e d   6   b y t e s   f r o m   . / 2 . e n c E ( A )   =   b ' x a 1 x b 1 ` x 1 b x a 7 x 9 7 ' E ( B )   =   b ' x b e x b b ~ x 1 b x a c x 9 7 ' B   =   b ' w o r l d n ' A   =   b ' h e l l o n ' 1 . t x t
考 虑 这 么 一 种 场 景 ， 某 C M S 的 c o o k i e 格 式 为 D E S - E C B 加 密 后 的 数 据 ， 而 明 文 格 式 如 下 ： 由 于 D E S 使 用 的 块 大 小 是 8 字 节 ， 因 此 上 述 明 文 可 以 切 分 成 三 个 块 ， 其 中 为 填 充 符 假 设 我 们 可 以 控 制 自 己 的 用 户 名 （ 在 注 册 时 ） ， 那 么 有 什 么 办 法 可 以 在 不 知 道 密 钥 的 情 况 下 将 自 己 提 取 为 管 理 员 呢 （ 即 a d m i n = 1 ） ？ 首 先 将 用 户 名 设 置 为 ， 此 时 明 文 块 的 内 容 如 下 ： 我 们 所 需 要 做 的 ， 就 是 在 加 密 完 成 后 ， 将 服 务 器 返 回 的 c o o k i e 使 用 最 后 一 个 块 替 换 第 一 个 块 ， 这 样 一 来 就 获 得 了 一 个 具 有 管 理 员 权 限 的 合 法 c o o k i e 了 。 完 整 例 子 就 不 整 了 ， 这 里 只 证 明 一 下 这 种 方 式 的 可 行 性 ， 首 先 使 用 D E S - E C B 加 密 明 文 ： 然 后 修 改 密 文 ， 将 前 两 个 块 （ 8 字 节 ） 替 换 ， 然 后 使 用 相 同 的 密 钥 进 行 解 密 ： 可 以 看 到 ， 该 攻 击 方 法 确 实 是 对 E C B 块 加 密 算 法 有 效 的 。 类 似 的 利 用 方 式 还 有 在 能 够 解 密 的 情 况 下 ， 将 其 他 密 文 的 对 应 块 替 换 到 自 己 的 密 文 块 中 ， 从 而 获 取 其 他 密 文 块 的 明 文 数 据 。 比 如 上 述 例 子 如 果 可 以 通 过 c o o k i e 获 取 用 户 名 ， 那 么 可 以 将 其 他 密 文 块 放 到 用 户 名 部 分 从 而 获 取 其 他 加 密 的 信 息 。 该 攻 击 和 其 他 类 似 的 攻 击 其 实 有 一 个 共 同 点 ， 我 们 无 法 获 取 和 猜 解 原 始 数 据 ， 但 可 以 通 过 修 改 密 文 数 据 并 让 服 务 器 去 成 功 解 密 。 因 此 应 对 此 攻 击 的 方 法 就 很 明 显 了 ， 即 在 加 密 后 再 添 加 M A C 校 验 。 注 意 这 里 说 的 是 先 加 密 后 M A C ， 如 果 顺 序 反 了 ， 那 在 处 理 数 据 时 就 要 先 解 密 再 校 验 M A C ， 这 有 可 能 会 导 致 一 系 列 安 全 问 题 ， 比 如 下 面 将 提 到 的 密 文 填 塞 （ P a d d i n g   O r a c l e ） 攻 击 。 P a d d i n g   O r a c l e   A t t a c k 在 介 绍 该 攻 击 之 前 ， 可 以 先 回 顾 一 下 关 于 填 充 的 知 识 。 在 P K C S # 7 系 统 中 ， 我 们 可 以 通 过 最 后 一 个 块 的 最 后 一 个 字 节 得 知 填 充 的 大 小 以 及 校 验 填 充 是 否 合 法 。 密 文 填 塞 （ P a d d i n g   O r a c l e   A t t a c k ） 攻 击 通 常 出 现 在 C B C 块 加 密 模 式 以 及 P K C S # 7 填 充 的 情 况 下 。 如 果 服 务 器 在 解 密 数 据 时 对 于 填 充 合 法 的 密 文 和 填 充 不 合 法 的 密 文 有 不 同 的 返 回 ， 我 们 就 能 利 用 这 种 先 验 知 识 （ O r a c l e ） 来 填 塞 数 据 。 再 回 想 一 下 我 们 介 绍 C B C 块 加 密 时 说 过 ， 在 一 个 加 密 块 （ B l o c k   N ） 中 翻 转 某 一 位 ， 则 会 在 解 密 后 导 致 对 应 的 下 一 个 下 一 个 明 文 块 （ B l o c k   N + 1 ） 中 相 同 的 位 进 行 翻 转 。 由 于 这 个 特 性 ， 我 们 可 以 在 不 知 道 密 钥 的 情 况 下 ， 使 用 服 务 器 来 猜 解 出 明 文 数 据 。 最 后 一 字 节 最 后 一 字 节 具 体 怎 么 做 呢 ？ 再 次 仔 细 思 考 一 下 C B C 模 式 的 解 密 流 程 ， 若 要 解 密 一 个 块 ， 则 需 要 其 本 身 的 密 文 C 2 以 及 前 一 个 块 的 密 文 C 1 ， 解 密 的 流 程 如 下 ： a d m i n = 0 ; u s e r n a m e = p a n @ 号 ： a d m i n = 0 ; u s e r n a m e = p a n @ @ @ @ p a n @ @ @ @ a d m i n = 1 ; a d m i n = 0 ; u s e r n a m e = p a n @ @ @ @ a d m i n = 1 ; $   $   c a t   a d m i n . t x t a d m i n = 0 ; u s e r n a m e = p a n $   o p e n s s l   d e s - e c b   - n o s a l t   - i n   a d m i n . t x t   >   a d m i n . e n c $   x x d   a d m i n . e n c 0 0 0 0 0 0 0 0 :   0 2 9 3   0 7 c d   8 8 f 3   0 2 6 e   c 6 1 e   1 2 8 4   1 a 6 e   6 8 5 3     . . . . . . . n . . . . . n h S 0 0 0 0 0 0 1 0 :   e 0 b 2   7 1 6 9   3 e e 4   0 b 9 a                                             . . q i > . . . $   x x d   a d m i n 1 . e n c 0 0 0 0 0 0 0 0 :   c 6 1 e   1 2 8 4   1 a 6 e   6 8 5 3   0 2 9 3   0 7 c d   8 8 f 3   0 2 6 e     . . . . . n h S . . . . . . . n 0 0 0 0 0 0 1 0 :   e 0 b 2   7 1 6 9   3 e e 4   0 b 9 a                                             . . q i > . . . $   o p e n s s l   d e s - e c b   - n o s a l t   - d   - i n   a d m i n 1 . e n c u s e r n a m e a d m i n = 0 ; = p a n
在 这 种 攻 击 场 景 下 ， 我 们 （ 攻 击 者 ） 可 以 控 制 输 入 密 文 块 的 内 容 ， 并 且 获 取 服 务 器 的 差 异 化 返 回 ， 即 是 否 填 充 错 误 。 假 设 C 2 是 最 后 一 个 块 ， 那 么 通 过 变 异 C 1 ， 就 可 以 猜 解 C 2 明 文 。 猜 解 过 程 如 下 ： 将 C 1 前 1 5 字 节 随 机 设 置 ， 第 1 6 字 节 设 置 为 ’ x 0 0 ’ 将 修 改 后 的 密 文 块 发 送 给 服 务 器 解 密 由 于 我 们 修 改 了 C 1 的 最 后 一 个 字 节 ， 那 么 根 据 上 文 介 绍 ， 在 解 密 后 C 2 的 明 文 P 2 最 后 一 个 字 节 也 会 进 行 改 变 ， 变 成 什 么 我 们 还 不 知 道 ， 但 是 我 们 知 道 ： 其 中 I 2 是 解 密 算 法 如 A E S 解 密 后 的 中 间 值 ， 我 们 不 关 心 具 体 解 密 算 法 ， 但 总 有 这 么 个 值 。 然 后 ， 根 据 服 务 器 的 返 回 我 们 知 道 有 两 种 可 能 ： 返 回 填 充 不 合 法 。 此 时 未 知 。 返 回 填 充 合 法 。 此 时 肯 定 为 ， 因 为 只 有 这 样 才 能 出 现 合 法 的 填 充 。 如 果 是 第 一 种 情 况 ， 我 们 就 继 续 变 异 ， 直 到 出 现 合 法 的 填 充 ， 即 第 二 种 情 况 。 假 设 我 们 在 变 异 到 时 才 出 现 合 法 填 充 ， 则 此 时 有 ： 回 顾 一 下 上 图 ， I 2 的 产 生 与 C 1 无 关 ， 只 与 C 2 和 密 钥 k e y 相 关 ， 但 是 我 们 却 计 算 出 了 的 值 ！ 因 此 我 们 可 以 用 异 或 上 变 异 前 的 从 而 获 得 原 始 的 明 文 。 这 就 是 P a d d i n g   O r a c l e 攻 击 的 思 路 。 下 一 个 字 节 下 一 个 字 节 为 了 完 成 攻 击 ， 我 们 继 续 使 用 类 似 方 式 猜 解 I 2 中 更 多 的 内 容 。 将 C 1 前 1 4 字 节 设 置 为 随 机 值 设 置 为 0 x 0 0 设 置 为 能 令 的 值 即 将 固 定 为 0 x 2 5 ， 继 续 爆 破 知 道 出 现 合 法 的 填 充 ， 此 时 ， 假 设 出 现 合 法 填 充 时 候 爆 破 的 值 为 0 x 6 8 ： 再 一 次 ， 我 们 获 得 了 真 实 的 值 ， 从 何 可 以 算 出 原 始 的 明 文 。 以 此 类 推 ， 最 终 我 们 可 以 计 算 出 完 整 的 明 文 P 2 内 容 。 下 一 个 块 下 一 个 块 P 2 [ 1 5 ]   =   I 2 [ 1 5 ]   x o r   C 1 [ 1 5 ] P 2 [ 1 5 ] P 2 [ 1 5 ] 0 x 0 1 C 1 [ 1 5 ] C 1 [ 1 5 ]   =   0 x 4 2 P 2 [ 1 5 ]   =   I 2 [ 1 5 ]   x o r   C 1 [ 1 5 ] I 2 [ 1 5 ]   =   P 2 [ 1 5 ]   x o r   C 1 [ 1 5 ]   =   0 x 0 1   x o r   0 x 2 6   =   0 x 2 7 I 2 [ 1 5 ] I 2 [ 1 5 ] C 1 [ 1 5 ] P 2 [ 1 5 ]   =   0 x 2 7   x o r   C 1 [ 1 5 ] C 1 [ 1 4 ] C 1 [ 1 5 ] P 2 [ 1 5 ]   =   0 x 0 2 P 2 [ 1 5 ]   =   I 2 [ 1 5 ]   x o r   C 1 [ 1 5 ] C 1 [ 1 5 ]   =   P 2 [ 1 5 ]   x o r   I 2 [ 1 5 ]   =   0 x 0 2   x o r   0 x 2 7   =   0 x 2 5 C 1 [ 1 5 ] C 1 [ 1 4 ] P 2 [ 1 4 ] = 0 x 0 2 C 1 [ 1 4 ] P 2 [ 1 4 ]   =   I 2 [ 1 4 ]   x o r   C 1 [ 1 4 ]   =   0 x 0 2 I 2 [ 1 4 ]   =   P 2 [ 1 4 ]   x o r   C 1 [ 1 4 ]   =   0 x 0 2   x o r   0 x 6 8   =   0 x 6 A I 2 [ 1 4 ] P 2 [ 1 4 ]
根 据 上 述 方 法 ， 我 们 已 经 可 以 还 原 最 后 一 个 密 文 块 的 明 文 了 。 而 对 于 C B C 模 式 ， 每 个 密 文 块 的 解 密 仅 和 当 前 块 以 及 前 一 个 块 相 关 ， 因 此 上 述 攻 击 可 以 应 用 到 所 有 块 中 ， 除 了 第 一 个 。 第 一 个 块 的 加 解 密 使 用 初 始 化 向 量 I V 进 行 ， 对 此 没 有 通 用 破 解 方 法 。 但 是 C B C 加 密 中 I V 也 不 是 必 须 保 密 的 ， 因 此 在 实 践 中 通 常 会 组 合 到 密 文 的 最 前 面 或 者 最 后 面 ， 其 长 度 和 块 大 小 相 同 。 如 果 一 定 要 解 密 第 一 个 块 ， 可 以 使 用 这 种 猜 测 方 法 。 示 例 示 例 实 践 出 真 知 ， 我 们 来 看 一 个 具 体 的 例 子 。 首 先 用 F l a s k 写 一 个 简 单 的 应 用 ， 如 下 ： 该 应 用 可 以 接 收 一 个 明 文 返 回 其 密 文 （ e n c ） ， 也 可 以 接 收 密 文 返 回 对 应 信 息 。 # ! / u s r / b i n / e n v   p y t h o n 3 i m p o r t   b i n a s c i i i m p o r t   s t r i n g i m p o r t   r a n d o m f r o m   C r y p t o . C i p h e r   i m p o r t   A E S f r o m   C r y p t o . U t i l . P a d d i n g   i m p o r t   p a d ,   u n p a d f r o m   f l a s k   i m p o r t   F l a s k ,   r e q u e s t a p p   =   F l a s k ( _ _ n a m e _ _ ) d b   =   { } B S I Z E   =   1 6 s e c r e t   =   b ' x 2 6 '   *   B S I Z E d e f   g e t _ i v ( ) :         r e t u r n   b ' x 0 0 '   *   B S I Z E d e f   d e c r y p t ( d a t a ) :         d a t a   =   d a t a . e n c o d e ( )         d a t a   =   b i n a s c i i . u n h e x l i f y ( d a t a )         i v   =   d a t a [ : B S I Z E ]         e n g i n e   =   A E S . n e w ( k e y = s e c r e t ,   m o d e = A E S . M O D E _ C B C ,   i v = i v )         d a t a   =   d a t a [ B S I Z E : ]         d a t a   =   e n g i n e . d e c r y p t ( d a t a )         d a t a   =   u n p a d ( d a t a ,   B S I Z E )         r e t u r n   d a t a . d e c o d e ( ) d e f   e n c r y p t ( d a t a ) :         d a t a   =   d a t a . e n c o d e ( )         i v   =   g e t _ i v ( )         e n g i n e   =   A E S . n e w ( k e y = s e c r e t ,   m o d e = A E S . M O D E _ C B C ,   i v = i v )         r e t u r n   b i n a s c i i . h e x l i f y ( i v   +   e n g i n e . e n c r y p t ( p a d ( d a t a ,   B S I Z E ) ) ) . d e c o d e ( ) @ a p p . r o u t e ( ' / d e c / < d a t a > ' ) d e f   d e c ( d a t a ) :         #   p r i n t ( ' d e c : ' ,   d a t a )         t r y :                 k e y   =   d e c r y p t ( d a t a )         e x c e p t   E x c e p t i o n   a s   e :                 r e t u r n   ' E r r o r :   '   +   s t r ( e )         i f   k e y   n o t   i n   d b :                 r e t u r n   ' E r r o r :   i n v a l i d   k e y '         r e t u r n   d b [ k e y ] @ a p p . r o u t e ( ' / e n c / < k e y > ' ) d e f   e n c ( k e y ) :         d b [ k e y ]   =   ' v a l i d '         r e t u r n   e n c r y p t ( k e y ) a p p . r u n ( d e b u g = F a l s e )
作 为 攻 击 者 ， 我 们 拿 到 的 只 有 加 密 后 的 信 息 ， 目 的 就 是 要 将 其 解 密 ， 查 看 明 文 内 容 ： 方 便 起 见 ， 我 们 假 设 已 知 服 务 器 使 用 的 是 加 密 算 法 ， 且 I V 组 合 在 密 文 头 部 。 其 实 不 知 道 也 没 关 系 ， 只 不 过 需 要 多 试 几 次 罢 了 。 根 据 前 面 介 绍 的 原 理 ， 我 们 先 将 密 文 分 割 成 1 2 8 / 8 = 1 6 字 节 的 3 个 块 ： 经 测 试 ， 当 服 务 器 遇 到 填 充 错 误 会 返 回 或 者 ， 那 么 这 就 可 以 作 为 我 们 P a d d i n g   O r a c l e 攻 击 的 依 据 。 首 先 将 最 后 一 字 节 从 0 x 0 0 开 始 到 0 x f f 不 断 变 异 尝 试 ， 发 现 当 值 为 0 x 3 b 时 候 出 现 了 非 P a d d i n g 错 误 ， 此 时 ： 则 明 文 最 后 一 字 节 为 ： 依 此 类 推 ， 不 断 从 后 往 前 猜 解 每 个 字 节 的 值 。 一 个 简 单 的 自 动 化 脚 本 如 下 ： $   c u r l   h t t p : / / l o c a l h o s t : 5 0 0 0 / e n c / S e e _ y o u _ i n _ R e d _ S q u a r e _ a t _ 4 _ p m 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 c 8 a b 1 c 8 8 1 b 4 0 d 5 4 d 8 1 d 1 e f a b 4 2 9 a d 2 3 9 d a c 1 d 6 5 7 3 e 7 c 2 6 d 5 3 3 f f c 3 c b c 2 3 a 8 4 5 5 $   c u r l   h t t p : / / l o c a l h o s t : 5 0 0 0 / d e c / 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 c 8 a b 1 c 8 8 1 b 4 0 d 5 4 d 8 1 d 1 e f a b 4 2 9 a d 2 3 9 d a c 1 d 6 5 7 3 e 7 c 2 6 d 5 3 3 f f c 3 c b c 2 3 a 8 4 5 5 v a l i d $   c u r l   h t t p : / / l o c a l h o s t : 5 0 0 0 / d e c / 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 c 8 a b 1 c 8 8 1 b 4 0 d 5 4 d 8 1 d 1 e f a b 4 2 9 a d 2 3 9 d a c 1 d 6 5 7 3 e 7 c 2 6 d 5 3 3 f f c 3 c b c 2 3 a 8 4 6 6 E r r o r :   P a d d i n g   i s   i n c o r r e c t . 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 c 8 a b 1 c 8 8 1 b 4 0 d 5 4 d 8 1 d 1 e f a b 4 2 9 a d 2 3 9 d a c 1 d 6 5 7 3 e 7 c 2 6 d 5 3 3 f f c 3 c b c 2 3 a 8 4 5 5 A E S - 1 2 8 - C B C b l o c k [ 0 ]   =   ' 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ' b l o c k [ 1 ]   =   ' c 8 a b 1 c 8 8 1 b 4 0 d 5 4 d 8 1 d 1 e f a b 4 2 9 a d 2 3 9 ' b l o c k [ 2 ]   =   ' d a c 1 d 6 5 7 3 e 7 c 2 6 d 5 3 3 f f c 3 c b c 2 3 a 8 4 5 5 ' E r r o r :   P a d d i n g   i s   i n c o r r e c t . E r r o r :   P K C S # 7   p a d d i n g   i s   i n c o r r e c t . b l o c k [ 1 ] I 2 [ 1 5 ]   =   _ C 1 [ 1 5 ]   ^   _ P 2 [ 1 5 ]   =   0 x 3 b   ^   0 x 0 1   =   0 x 3 a P 2 [ 1 5 ]   =   I 2 [ 1 5 ]   x o r   C 1 [ 1 5 ]   =   0 x 3 a   ^   0 x 3 9   =   0 x 0 3 # ! / u s r / b i n / e n v   p y t h o n 3 i m p o r t   t i m e i m p o r t   r e q u e s t s i m p o r t   b i n a s c i i u r l   =   ' h t t p : / / l o c a l h o s t : 5 0 0 0 / d e c / '   d a t a   =   ' 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 c 8 a b 1 c 8 8 1 b 4 0 d 5 4 d 8 1 d 1 e f a b 4 2 9 a d 2 3 9 d a c 1 d 6 5 7 3 e 7 c 2 6 d 5 3 3 f f c 3 c b c 2 3 a 8 4 5 5 ' B S I Z E   =   1 6 d e f   t e s t ( d a t a ) :         r   =   r e q u e s t s . g e t ( u r l   +   d a t a )         r e t u r n   r . t e x t b   =   b i n a s c i i . u n h e x l i f y ( d a t a ) n b l o c k s   =   i n t ( l e n ( b )   /   B S I Z E ) b l o c k s   =   [ ] p r i n t ( ' n b l o c k s : ' ,   n b l o c k s ) f o r   i   i n   r a n g e ( n b l o c k s ) :         b l k   =   b [ i * B S I Z E :   ( i + 1 ) * B S I Z E ]         p r i n t ( f ' b l o c k [ { i } ]   = ' ,   b i n a s c i i . h e x l i f y ( b l k ) )         b l o c k s . a p p e n d ( b l k ) p r i n t ( ' i v : ' ,   b [ : B S I Z E ] ) b l o c k I D   =   - 1 p r e v I D   =   b l o c k I D   -   1 p r i n t ( f ' d e c r y p t i n g   b l o c k [ { b l o c k I D } ] ,   p r e v   = ' ,   b i n a s c i i . h e x l i f y ( b l o c k s [ p r e v I D ] ) ) p l a i n t e x t   =   b y t e a r r a y ( 1 6 ) i n t e r   =   b y t e a r r a y ( 1 6 ) f o r   b y t e I d x   i n   r a n g e ( B S I Z E - 1 ,   - 1 ,   - 1 ) :         p r e v B l o c k   =   b y t e a r r a y ( b l o c k s [ p r e v I D ] )         p r i n t ( f ' m u t a t i n g   b l o c k [ { p r e v I D } ] [ { b y t e I d x } ] ' )
运 算 结 果 为 ：         p r i n t ( f ' m u t a t i n g   b l o c k [ { p r e v I D } ] [ { b y t e I d x } ] ' )         o r i g i n   =   p r e v B l o c k [ b y t e I d x ]         p a d V a l u e   =   B S I Z E   -   b y t e I d x         #   将 b y t e I d x 之 前 的 值 可 以 任 意 随 机 设 置         f o r   i   i n   r a n g e ( b y t e I d x ) :                 p r e v B l o c k [ i ]   =   0 x 1 1         #   将 b y t e I d x 之 后 的 值 设 置 为 令 其 明 文 为 p a d V a l u e 的 值         f o r   i   i n   r a n g e ( b y t e I d x   +   1 ,   B S I Z E ) :                 p r e v B l o c k [ i ]   =   i n t e r [ i ]   ^   p a d V a l u e         p r i n t ( ' b e g i n : ' ,   p r e v B l o c k . h e x ( ) )         f o u n d   =   F a l s e         f o r   v a l   i n   r a n g e ( 0 x 1 0 0 ) :                 p r e v B l o c k [ b y t e I d x ]   =   v a l                 _ b l o c k s   =   b l o c k s . c o p y ( )                 _ b l o c k s [ p r e v I D ]   =   b y t e s ( p r e v B l o c k )                 p a y l o a d   =   b ' ' . j o i n ( _ b l o c k s )                 p a y l o a d   =   b i n a s c i i . h e x l i f y ( p a y l o a d ) . d e c o d e ( )                 r e s p   =   t e s t ( p a y l o a d )                 #   p r i n t ( f ' t e s t i n g ' ,   b i n a s c i i . h e x l i f y ( p r e v B l o c k ) ,   ' - > ' ,   r e s p ,   e n d = ' r ' )                 i f   ' i n c o r r e c t '   i n   r e s p :                         c o n t i n u e                 i 2   =   p a d V a l u e   ^   v a l                 p 2   =   o r i g i n   ^   i 2                 i n t e r [ b y t e I d x ]   =   i 2                 p l a i n t e x t [ b y t e I d x ]   =   p 2                 p r i n t ( f ' f o u n d   c = { v a l } ,   i = { p a d V a l u e } ^ { v a l } = { i 2 } ,   o = { o r i g i n } ,   p = { p 2 } ' )                 f o u n d   =   T r u e                 b r e a k         i f   n o t   f o u n d :                 p r i n t ( ' E r r o r :   n o   v a l i d   v a l u e   f o u n d ' )                 b r e a k p r i n t ( ' p l a i n t e x t   = ' ,   p l a i n t e x t ) $   p y t h o n 3   p a d d i n g _ o r a c l e _ e x p . p y n b l o c k s :   3 b l o c k [ 0 ]   =   b ' 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ' b l o c k [ 1 ]   =   b ' c 8 a b 1 c 8 8 1 b 4 0 d 5 4 d 8 1 d 1 e f a b 4 2 9 a d 2 3 9 ' b l o c k [ 2 ]   =   b ' d a c 1 d 6 5 7 3 e 7 c 2 6 d 5 3 3 f f c 3 c b c 2 3 a 8 4 5 5 ' i v :   b ' x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 ' d e c r y p t i n g   b l o c k [ - 1 ] ,   p r e v   =   b ' c 8 a b 1 c 8 8 1 b 4 0 d 5 4 d 8 1 d 1 e f a b 4 2 9 a d 2 3 9 ' m u t a t i n g   b l o c k [ - 2 ] [ 1 5 ] b e g i n :   1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 3 9 f o u n d   c = 5 9 ,   i = 1 ^ 5 9 = 5 8 ,   o = 5 7 ,   p = 3 m u t a t i n g   b l o c k [ - 2 ] [ 1 4 ] b e g i n :   1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 d 2 3 8 f o u n d   c = 2 1 1 ,   i = 2 ^ 2 1 1 = 2 0 9 ,   o = 2 1 0 ,   p = 3 m u t a t i n g   b l o c k [ - 2 ] [ 1 3 ] b e g i n :   1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 9 a d 2 3 9 f o u n d   c = 1 5 4 ,   i = 3 ^ 1 5 4 = 1 5 3 ,   o = 1 5 4 ,   p = 3 m u t a t i n g   b l o c k [ - 2 ] [ 1 2 ] b e g i n :   1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 4 2 9 d d 5 3 e f o u n d   c = 4 3 ,   i = 4 ^ 4 3 = 4 7 ,   o = 6 6 ,   p = 1 0 9 m u t a t i n g   b l o c k [ - 2 ] [ 1 1 ] b e g i n :   1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 a b 2 a 9 c d 4 3 f f o u n d   c = 2 2 2 ,   i = 5 ^ 2 2 2 = 2 1 9 ,   o = 1 7 1 ,   p = 1 1 2 m u t a t i n g   b l o c k [ - 2 ] [ 1 0 ] b e g i n :   1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 e f d d 2 9 9 f d 7 3 c f o u n d   c = 1 8 2 ,   i = 6 ^ 1 8 2 = 1 7 6 ,   o = 2 3 9 ,   p = 9 5 m u t a t i n g   b l o c k [ - 2 ] [ 9 ] b e g i n :   1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 d 1 b 7 d c 2 8 9 e d 6 3 d
这 样 ， 我 们 就 在 无 需 知 道 服 务 端 密 钥 的 情 况 下 ， 成 功 还 原 了 最 后 一 个 块 的 明 文 。 逐 块 处 理 ， 就 可 以 还 原 完 整 的 内 容 了 。 当 然 还 有 值 得 优 化 的 地 方 ， 比 如 爆 破 出 最 后 一 字 节 明 文 后 ， 可 以 根 据 P a d d i n g 原 理 直 接 跳 过 若 干 字 节 ， 加 快 爆 破 的 速 度 ， 以 及 使 用 I V 还 原 第 一 个 块 等 。 小 结 小 结 本 文 介 绍 了 生 活 中 常 见 的 对 称 加 密 算 法 ， 包 括 流 加 密 和 块 加 密 。 其 中 流 加 密 为 逐 字 节 加 密 ， 类 如 R C 4 等 算 法 容 易 受 到 密 钥 重 用 攻 击 的 影 响 ， 导 致 攻 击 者 在 无 需 知 道 密 钥 的 情 况 下 还 原 密 文 ； 而 块 加 密 将 数 据 分 割 为 一 个 个 块 再 分 别 进 行 加 密 ， E C B 中 各 个 块 独 立 加 密 ， 容 易 收 到 重 排 攻 击 的 影 响 ， C B C 中 每 个 块 加 密 后 会 与 前 一 个 块 密 文 进 行 异 或 ， 在 填 充 规 律 已 知 的 情 况 下 ， 容 易 收 到 P a d d i n g   O r a c l e 攻 击 的 影 响 。 缓 解 密 钥 重 用 的 方 式 一 般 是 增 加 随 机 数 n o n c e ， 而 绕 过 密 钥 获 取 / 修 改 明 文 的 攻 击 则 可 以 通 过 对 加 密 数 据 添 加 完 整 性 保 护 （ M A C ） 。 加 密 算 法 本 身 没 有 漏 洞 ， 但 是 使 用 不 当 也 能 导 致 严 重 的 安 全 问 题 ， 关 键 是 需 要 理 解 所 使 用 的 加 密 算 法 基 本 原 理 。 参 考 链 接 参 考 链 接 B l o c k   c i p h e r   m o d e   o f   o p e r a t i o n S t r e a m   C i p h e r   A t t a c k s T h e   P a d d i n g   O r a c l e   A t t a c k * 本 文 作 者 ： 有 价 值 炮 灰 ， 本 文 属 本 文 作 者 ： 有 价 值 炮 灰 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 b e g i n :   1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 d 1 b 7 d c 2 8 9 e d 6 3 d f o u n d   c = 2 2 6 ,   i = 7 ^ 2 2 6 = 2 2 9 ,   o = 2 0 9 ,   p = 5 2 m u t a t i n g   b l o c k [ - 2 ] [ 8 ] b e g i n :   1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 8 1 e d b 8 d 3 2 7 9 1 d 9 3 2 f o u n d   c = 2 1 4 ,   i = 8 ^ 2 1 4 = 2 2 2 ,   o = 1 2 9 ,   p = 9 5 m u t a t i n g   b l o c k [ - 2 ] [ 7 ] b e g i n :   1 1 1 1 1 1 1 1 1 1 1 1 1 1 4 d d 7 e c b 9 d 2 2 6 9 0 d 8 3 3 f o u n d   c = 4 8 ,   i = 9 ^ 4 8 = 5 7 ,   o = 7 7 ,   p = 1 1 6 m u t a t i n g   b l o c k [ - 2 ] [ 6 ] b e g i n :   1 1 1 1 1 1 1 1 1 1 1 1 d 5 3 3 d 4 e f b a d 1 2 5 9 3 d b 3 0 f o u n d   c = 1 9 0 ,   i = 1 0 ^ 1 9 0 = 1 8 0 ,   o = 2 1 3 ,   p = 9 7 m u t a t i n g   b l o c k [ - 2 ] [ 5 ] b e g i n :   1 1 1 1 1 1 1 1 1 1 4 0 b f 3 2 d 5 e e b b d 0 2 4 9 2 d a 3 1 f o u n d   c = 2 0 ,   i = 1 1 ^ 2 0 = 3 1 ,   o = 6 4 ,   p = 9 5 m u t a t i n g   b l o c k [ - 2 ] [ 4 ] b e g i n :   1 1 1 1 1 1 1 1 1 b 1 3 b 8 3 5 d 2 e 9 b c d 7 2 3 9 5 d d 3 6 f o u n d   c = 1 1 4 ,   i = 1 2 ^ 1 1 4 = 1 2 6 ,   o = 2 7 ,   p = 1 0 1 m u t a t i n g   b l o c k [ - 2 ] [ 3 ] b e g i n :   1 1 1 1 1 1 8 8 7 3 1 2 b 9 3 4 d 3 e 8 b d d 6 2 2 9 4 d c 3 7 f o u n d   c = 2 4 7 ,   i = 1 3 ^ 2 4 7 = 2 5 0 ,   o = 1 3 6 ,   p = 1 1 4 m u t a t i n g   b l o c k [ - 2 ] [ 2 ] b e g i n :   1 1 1 1 1 c f 4 7 0 1 1 b a 3 7 d 0 e b b e d 5 2 1 9 7 d f 3 4 f o u n d   c = 1 1 5 ,   i = 1 4 ^ 1 1 5 = 1 2 5 ,   o = 2 8 ,   p = 9 7 m u t a t i n g   b l o c k [ - 2 ] [ 1 ] b e g i n :   1 1 a b 7 2 f 5 7 1 1 0 b b 3 6 d 1 e a b f d 4 2 0 9 6 d e 3 5 f o u n d   c = 2 0 9 ,   i = 1 5 ^ 2 0 9 = 2 2 2 ,   o = 1 7 1 ,   p = 1 1 7 m u t a t i n g   b l o c k [ - 2 ] [ 0 ] b e g i n :   c 8 c e 6 d e a 6 e 0 f a 4 2 9 c e f 5 a 0 c b 3 f 8 9 c 1 2 a f o u n d   c = 1 6 9 ,   i = 1 6 ^ 1 6 9 = 1 8 5 ,   o = 2 0 0 ,   p = 1 1 3 p l a i n t e x t   =   b y t e a r r a y ( b ' q u a r e _ a t _ 4 _ p m x 0 3 x 0 3 x 0 3 ' )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理