搜索

[7956] 2014-04-14_科普哈希长度扩展攻击(HashLengthExtensionAttacks)

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-04-14_科普哈希长度扩展攻击(HashLengthExtensionAttacks) 科 普 哈 希 长 度 扩 展 攻 击 ( H a s h   L e n g t h   E x t e n s i o n   A t t a c k s ) E t t a c k   F r e e B u f   2 0 1 4 - 0 4 - 1 4 貌 似 大 多 数 渗 透 师 都 很 少 测 试 密 码 学 方 面 的 漏 洞 。 我 一 直 都 对 密 码 学 颇 有 兴 趣 ， 于 是 决 定 研 究 w e b 应 用 开 发 者 误 用 加 密 算 法 的 情 况 ， 以 及 如 何 利 用 这 些 漏 洞 。 一 月 份 的 时 候 ， 我 研 究 了 下 对 于 一 些 比 较 弱 的 M e s s a g e   A u t h e n t i c a t i o n   c o d e s （ M A C s ） [ 译 者 注 ： 关 于 译 者 注 ： 关 于 M A C 与 与 h a s h 的 区 别 参 的 区 别 参 见 见 此 链 接 此 链 接 ] ， 如 何 进 行 哈 希 长 度 扩 展 （ h a s h   l e n g t h   e x t e n s i o n ） 攻 击 。 我 发 现 一 些 很 不 错 的 论 文 和 博 文 ， 谈 到 了 这 种 攻 击 方 式 。 然 而 ， 针 对 哈 希 长 度 扩 展 攻 击 的 具 体 细 节 ， 却 鲜 有 资 料 。 在 这 篇 文 章 中 ， 我 将 会 对 此 进 行 详 细 解 释 。 M e s s a g e   A u t h e n t i c a t i o n   C o d e s   1 0 1 M e s s a g e   a u t h e n t i c a t i o n   c o d e s   ( M A C s ) 是 用 于 验 证 信 息 真 实 性 的 。 最 简 单 的 M A C 算 法 是 这 样 的 ： 服 务 器 把 k e y 和 m e s s a g e 连 接 到 一 起 ， 然 后 用 摘 要 算 法 如 M D 5 或 S H A 1 取 摘 要 。 例 如 ， 假 设 有 一 个 网 站 ， 在 用 户 下 载 文 件 之 前 需 验 证 下 载 权 限 。 这 个 网 站 会 用 如 下 的 算 法 产 生 一 个 关 于 文 件 名 的 M A C ： d e f   c r e a t e _ m a c ( k e y ,   f i l e N a m e )       r e t u r n   D i g e s t : : S H A 1 . h e x d i g e s t ( k e y   +   f i l e N a m e ) E n d 最 终 产 生 的 U R L 会 是 这 样 ： h t t p : / / e x a m p l e . c o m / d o w n l o a d ? f i l e = r e p o r t . p d f & m a c = 5 6 3 1 6 2 c 9 c 7 1 a 1 7 3 6 7 d 4 4 c 1 6 5 b 8 4 b 8 5 a b 5 9 d 0 3 6 f 9 当 用 户 发 起 请 求 要 下 载 一 个 文 件 时 ， 将 会 执 行 下 面 这 个 函 数 ： d e f   v e r i f y _ m a c ( k e y ,   f i l e N a m e ,   u s e r M a c )         v a l i d M a c   =   c r e a t e _ m a c ( k e y ,   f i l e n a m e )         i f   ( v a l i d M a c   = =   u s e r M a c )   d o                 i n i t i a t e D o w n l o a d ( )         e l s e                 d i s p l a y E r r o r ( )         e n d E n d 这 样 ， 只 有 当 用 户 没 有 擅 自 更 改 文 件 名 时 服 务 器 才 会 执 行 i n i t i a t e D o w n l o a d ( ) 开 始 下 载 。 实 际 上 ， 这 种 生 成 M A C 的 方 式 ， 给 攻 击 者 在 文 件 名 后 添 加 自 定 义 字 串 留 下 可 乘 之 机 。 L e n g t h   E x t e n s i o n   A t t a c k s ,   T h e   S i m p l e E x p l a n a t i o n 哈 希 摘 要 算 法 ， 如 M D 5 , S H A 1 ,   S H A 2 等 ， 都 是 基 于 M e r k l e – D a m g å r d 结 构 。 这 类 算 法 有 一 个 很 有 意 思 的 问 题 ： 如 果 你 知 道 m e s s a g e 和 M A C ， 只 需 再 知 道 k e y 的 长 度 ， 尽 管 不 知 道 k e y 的 值 ， 也 能 在 m e s s a g e 后 面 添 加 信 息 并 计 算 出 相 应 M A C 。 E x a m p l e :   m e s s a g e   +   p a d d i n g   + e x t e n s i o n
继 续 用 上 面 的 例 子 ， 对 文 件 下 载 的 功 能 进 行 长 度 扩 展 攻 击 ： h t t p : / / e x a m p l e . c o m / d o w n l o a d ? f i l e = r e p o r t . p d f % 8 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % A 8 / . . / . . / . . / . . / . . / . . / . . / e t c / p a s s w d & a m p ; m a c = e e 4 0 a a 8 e c 0 c f a f b 7 e 2 e c 4 d e 2 0 9 4 3 b 6 7 3 9 6 8 8 5 7 a 5 L e n g t h   E x t e n s i o n s   I n   D e p t h 为 了 理 解 这 种 攻 击 方 式 ， 你 必 须 先 了 解 h a s h 函 数 的 内 部 原 理 。 H o w   H a s h   A l g o r i t h m s   W o r k 哈 希 函 数 以 区 块 为 单 位 操 作 数 据 。 比 如 说 ， M D 5 ,   S H A 1 ,   S H A 2 5 6 的 区 块 长 度 是 5 1 2   b i t s   。 大 多 数 m e s s a g e 的 长 度 不 会 刚 好 可 以 被 哈 希 函 数 的 区 块 长 度 整 除 。 这 样 一 来 ， m e s s a g e 就 必 须 被 填 充 ( p a d d i n g ) 至 区 块 长 度 的 整 数 倍 。 用 前 面 文 件 下 载 的 M A C 的 例 子 来 说 ， 填 充 后 的 m e s s a g e 是 这 样 的 （ ‘ x & # 0 3 9 ; 表 示 k e y ） ： x x x x x x x x x x x r e p o r t . p d f x 8 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x A 8 在 本 例 所 用 的 S H A 1 算 法 中 ， 哈 希 值 由 五 组 整 数 构 成 。 一 般 我 们 看 到 的 形 式 是 把 这 五 个 整 数 转 换 为 1 6 进 制 然 后 连 接 到 一 起 。 运 行 算 法 时 ， 初 始 值 （ 又 叫 r e g i s t e r s ） 被 设 置 为 这 组 数 ： 6 7 4 5 2 3 0 1 ,   E F C D A B 8 9 , 9 8 B A D C F E ,   1 0 3 2 5 4 7 6 ,   C 3 D 2 E 1 F 0 .   紧 接 着 ， 填 充 m e s s a g e ， 再 将 其 分 割 为 5 1 2 b i t s 的 区 块 。 算 法 轮 流 操 作 每 个 区 块 ， 进 行 一 系 列 的 计 算 并 更 新 r e g i s t e r s 的 值 。 一 旦 完 成 了 这 些 运 算 ， r e g i s t e r s 里 的 值 就 是 最 终 的 哈 希 值 。 C a l c u l a t i n g   A n   E x t e n s i o n 计 算 扩 展 值 得 第 一 步 是 创 建 一 个 新 的 M A C 。 我 们 首 先 对 待 扩 展 的 值 ： 上 例 中 的 ‘ / . . / . . / . . / . . / . . / . . / . . / e t c / p a s s w d ’ 进 行 哈 希 摘 要 。 但 是 ， 在 进 行 摘 要 之 前 ， 我 们 要 把 r e g i s t e r s 里 的 初 始 值 设 置 为 原 始 m e s s a g e 的 M A C 。 你 可 以 将 其 想 象 为 让 S H A 1 函 数 从 服 务 器 上 的 函 数 运 行 结 束 的 地 方 继 续 进 行 。 攻 击 者 的   M A C   =   S H A 1 ( e x t e n s i o n   +   p a d d i n g )   < -   覆 盖 r e g i s t e r s 初 始 值 这 个 攻 击 有 个 前 提 ， 在 传 入 服 务 器 的 哈 希 函 数 时 ， 扩 展 值 必 须 存 在 于 单 独 的 区 块 中 。 所 以 我 们 的 第 二 步 ， 就 是 计 算 出 一 个 填 充 值 使 得   k e y   +   m e s s a g e   +   p a d d i n g   = =   5 1 2   b i t s   的 整 数 倍 。 在 此 例 中 ， k e y 是 1 1 个 字 符 的 长 度 。 因 此 填 充 之 后 的 m e s s a g e 是 这 样 的 ： r e p o r t . p d f x 8 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x A 8 传 送 到 服 务 器 的 填 充 及 扩 展 之 后 的 m e s s a g e 以 及 新 的 M A C ： h t t p : / / e x a m p l e . c o m / d o w n l o a d ? f i l e = r e p o r t . p d f % 8 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % 0 0 % A 8 / . . / . . / . . / . . / . . / . . / . . / e t c / p a s s w d & m a c = e e 4 0 a a 8 e c 0 c f a f b 7 e 2 e c 4 d e 2 0 9 4 3 b 6 7 3 9 6 8 8 5 7 a 5 服 务 器 要 进 行 摘 要 运 算 的 被 攻 击 者 篡 改 过 的 m e s s a g e 如 下 ：
s e c r e t   +   m e s s a g e   +   p a d d i n g   t o   t h e   n e x t   b l o c k   + e x t e n s i o n   +   p a d d i n g   t o   t h e   e n d   o f   t h a t   b l o c k . 服 务 器 算 出 的 哈 希 值 将 是 e e 4 0 a a 8 e c 0 c f a f b 7 e 2 e c 4 d e 2 0 9 4 3 b 6 7 3 9 6 8 8 5 7 a 5 ， 正 好 与 我 们 添 加 扩 展 字 串 并 覆 盖 r e g i s t e r s 初 始 值 所 计 算 出 来 的 一 样 。 这 是 因 为 攻 击 者 的 哈 希 计 算 过 程 ， 相 当 于 从 服 务 器 计 算 过 程 的 一 半 紧 接 着 进 行 下 去 。 H o w   T o   R u n   T h e   A t t a c k 为 了 简 单 ， 在 这 个 例 子 中 我 透 露 了 密 钥 长 度 是 1 1 位 。 在 现 实 攻 击 环 境 中 ， 攻 击 者 无 法 获 知 密 钥 长 度 ， 需 要 对 其 长 度 进 行 猜 测 。 继 续 之 前 的 例 子 ， 假 设 当 M A C 验 证 失 败 时 ， 这 个 存 在 漏 洞 的 网 站 会 返 回 一 个 错 误 信 息 （ H T T P   r e s p o n s e   c o d e   或 者 r e s p o n s e b o d y 中 的 错 误 消 息 之 类 ） 。 当 验 证 成 功 ， 但 是 文 件 不 存 在 时 ， 也 会 返 回 一 个 错 误 信 息 。 如 果 这 两 个 错 误 信 息 是 不 一 样 的 ， 攻 击 者 就 可 以 计 算 不 同 的 扩 展 值 ， 每 个 对 应 着 不 同 的 密 钥 长 度 ， 然 后 分 别 发 送 给 服 务 器 。 当 服 务 器 返 回 表 明 文 件 不 存 在 的 错 误 信 息 时 ， 即 说 明 存 在 长 度 扩 展 攻 击 ， 攻 击 者 可 以 随 意 计 算 新 的 扩 展 值 以 下 载 服 务 器 上 未 经 许 可 的 敏 感 文 件 。 H o w   T o   D e f e n d   A g a i n s t   T h i s   A t t a c k 解 决 这 个 漏 洞 的 办 法 是 使 用 H M A C 算 法 。 该 算 法 大 概 来 说 是 这 样   ： M A C   =   h a s h ( k e y   +   h a s h ( k e y   +   m e s s a g e ) ) ， 而 不 是 简 单 的 对 密 钥 连 接 m e s s a g e 之 后 的 值 进 行 哈 希 摘 要 。 具 体 H M A C 的 工 作 原 理 有 些 复 杂 ， 但 你 可 以 有 个 大 概 的 了 解 。 重 点 是 ， 由 于 这 种 算 法 进 行 了 双 重 摘 要 ， 密 钥 不 再 受 本 文 中 的 长 度 扩 展 攻 击 影 响 。 H M A C 最 先 是 在 1 9 9 6 年 被 发 表 ， 之 后 几 乎 被 添 加 到 每 一 种 编 程 语 言 的 标 准 函 数 库 中 。 S u m m a r y 尽 管 仍 有 一 些 疯 狂 的 人 类 在 写 自 己 的 加 密 算 法 ， 绝 大 多 数 人 已 经 渐 渐 发 现 自 己 写 加 密 算 法 不 是 什 么 好 主 意 。 然 而 ， 不 单 纯 的 套 用 公 开 的 加 密 算 法 也 是 有 其 意 义 的 ， 前 提 是 你 能 够 正 确 的 使 用 这 些 加 密 算 法 。 除 非 你 彻 底 吃 透 你 使 用 的 加 密 算 法 的 原 理 ， 并 懂 得 如 何 正 确 使 用 ， 否 则 还 是 直 接 用 那 些 经 过 了 专 业 级 审 查 的 高 级 算 法 库 要 安 全 些 。 [ v i a :   w h i t e h a t s e c   t r a n s l a t e   b y :   E t t a c k ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理