Cipher Block Chaining CBC-MAC

学习并练习AWS Hacking:HackTricks 培训 AWS 红队专家 (ARTE) 学习并练习GCP Hacking: HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

检查订阅计划!
加入 💬 Discord 群组 或 telegram 群组 或关注我们的Twitter 🐦 @hacktricks_live.
通过向HackTricks和HackTricks Cloud github 仓库提交 PR 来分享黑客技巧。

CBC

如果cookie只是用户名（或cookie的第一部分是用户名），而您想要冒充用户名"admin"。那么，您可以创建用户名**"bdmin"并暴力破解cookie的第一个字节**。

CBC-MAC

密码块链接消息认证码（CBC-MAC）是密码学中使用的一种方法。它通过逐块加密消息来工作，其中每个块的加密与前一个块相关联。这个过程创建了一个块链，确保即使更改原始消息的一个位，也会导致加密数据的最后一个块发生不可预测的变化。要进行或逆转这样的更改，需要加密密钥，确保安全性。

要计算消息 m 的 CBC-MAC，需要使用零初始化向量在 CBC 模式下加密 m 并保留最后一个块。以下图示了使用秘密密钥 k 和块密码 E 计算消息组成的块的 CBC-MAC 的计算过程：

漏洞

使用 CBC-MAC 时通常使用的初始化向量为 0。这是一个问题，因为独立的 2 个已知消息（m1 和 m2）将生成 2 个签名（s1 和 s2）。因此：

E(m1 XOR 0) = s1
E(m2 XOR 0) = s2

然后，由 m1 和 m2 连接而成的消息（m3）将生成 2 个签名（s31 和 s32）：

E(m1 XOR 0) = s31 = s1
E(m2 XOR s1) = s32

这是可以在不知道加密密钥的情况下计算的。

想象一下，您正在以8字节块加密名称Administrator：

Administ
rator\00\00\00

您可以创建一个名为Administ（m1）的用户名并检索签名（s1）。然后，您可以创建一个用户名，称为rator\00\00\00 XOR s1的结果。这将生成E(m2 XOR s1 XOR 0)，即 s32。现在，您可以使用 s32 作为完整名称Administrator的签名。

总结

获取用户名Administ（m1）的签名，即 s1
获取用户名rator\x00\x00\x00 XOR s1 XOR 0的签名为 s32**.**
将 cookie 设置为 s32，它将成为用户Administrator的有效 cookie。

攻击控制 IV

如果您可以控制使用的 IV，则攻击可能会变得非常容易。如果 cookie 只是加密的用户名，要冒充用户"administrator"，您可以创建用户"Administrator"并获取其 cookie。现在，如果您可以控制 IV，您可以更改 IV 的第一个字节，使得IV[0] XOR "A" == IV'[0] XOR "a"，并重新生成用户Administrator的 cookie。这个 cookie 将有效地冒充初始IV的用户administrator。