Cipher Block Chaining CBC-MAC
CBC
如果cookie只是用户名(或cookie的第一部分是用户名),而您想要冒充用户名"admin"。那么,您可以创建用户名**"bdmin"并暴力破解cookie的第一个字节**。
CBC-MAC
密码块链接消息认证码(CBC-MAC)是密码学中使用的一种方法。它通过逐块加密消息来工作,其中每个块的加密与前一个块相关联。这个过程创建了一个块链,确保即使更改原始消息的一个位,也会导致加密数据的最后一个块发生不可预测的变化。要进行或逆转这样的更改,需要加密密钥,确保安全性。
要计算消息 m 的 CBC-MAC,需要使用零初始化向量在 CBC 模式下加密 m 并保留最后一个块。以下图示了使用秘密密钥 k 和块密码 E 计算消息组成的块的 CBC-MAC 的计算过程:
漏洞
使用 CBC-MAC 时通常使用的初始化向量为 0。
这是一个问题,因为独立的 2 个已知消息(m1
和 m2
)将生成 2 个签名(s1
和 s2
)。因此:
E(m1 XOR 0) = s1
E(m2 XOR 0) = s2
然后,由 m1 和 m2 连接而成的消息(m3)将生成 2 个签名(s31 和 s32):
E(m1 XOR 0) = s31 = s1
E(m2 XOR s1) = s32
这是可以在不知道加密密钥的情况下计算的。
想象一下,您正在以8字节块加密名称Administrator:
Administ
rator\00\00\00
您可以创建一个名为Administ(m1)的用户名并检索签名(s1)。
然后,您可以创建一个用户名,称为rator\00\00\00 XOR s1
的结果。这将生成E(m2 XOR s1 XOR 0)
,即 s32。
现在,您可以使用 s32 作为完整名称Administrator的签名。
总结
获取用户名Administ(m1)的签名,即 s1
获取用户名rator\x00\x00\x00 XOR s1 XOR 0的签名为 s32**.**
将 cookie 设置为 s32,它将成为用户Administrator的有效 cookie。
攻击控制 IV
如果您可以控制使用的 IV,则攻击可能会变得非常容易。 如果 cookie 只是加密的用户名,要冒充用户"administrator",您可以创建用户"Administrator"并获取其 cookie。 现在,如果您可以控制 IV,您可以更改 IV 的第一个字节,使得IV[0] XOR "A" == IV'[0] XOR "a",并重新生成用户Administrator的 cookie。这个 cookie 将有效地冒充初始IV的用户administrator。
参考
更多信息请参阅https://en.wikipedia.org/wiki/CBC-MAC
Last updated