破解之美：利用ECB加密缺陷突破cookie加密

　　密码学诞生于古人类社会，例如古希腊斯巴达的密码棒、欧洲中世纪时期的密码栏、阿伯提发明的密码盘等。古代的密码学是一门加密隐蔽的学科，而现代密码学定义为加密与解密，研究在分组密码与流密码及其应用。一直以来加密与解密都在进行着激烈的对抗。加密者想尽办法让加密得到的信息不容易被破解，而解密者则绞尽脑汁不断去尝试还原加密数据。

　　WEB应用中也经常应用到加密，最常见的就是cookie加密，cookie加密主要是为了防止cookie被篡改。一般来说，常见的加密技术有MD5。CBC等，NSTRT在项目中曾遇到过使用ECB加密技术，并利用该算法的缺陷成功地解密出cookie信息，本期NSTRT将针对分组密码中的ECB加密模式的缺陷结合一个简单的实例进行分析。

　　0×1 ECB入门简介

　　首先，在介绍ECB模式之前，我们先大概了解下什么叫做分组密码。分组密码将需要进行加密的明文序列划分为若干固定长度的分组，然后使用固定长度的密钥加密固定长度的分组得到等长的加密分组。

　　ECB(Electronic CodeBook，电码本)模式是分组密码的一种最基本的工作模式。在该模式下，待处理信息被分为大小合适的分组，然后分别对每一分组独立进行加密或解密处理。其加、解密过程如下图：

　　ECB模式作为分组加密的一种基本工作模式，具有操作简单，易于实现的特点。同时由于其分组的独立性，利于实现并行处理，并且能很好地防止误差传播。

　　但ECB还有一致命缺陷，相同的明文块会加密成相同的密文。因此，它不能很好的隐藏数据模式。因为ECB的每一块都是使用完全相同的方式进行界面解密，这样就使得信息不能受到完全的保护，容易遭受统计分析攻击和重放攻击。

　　下图三幅图中，第一幅是原图，第二幅是经过ECB加密的图，第三幅是是使用了伪随机的非ECB加密图。我们可以看到使用ECB模式加密并不能对数据起到完全的加密作用，图中企鹅的轮廓形状还是可以看出来的。

　　0×2 实际样例

　　下面我们以一个具体的例子对ECB模式的缺陷进行分析。应用程序使用ECB来对用户提供的信息进行加密，用户在登录后只使用ECB加密后的cookie来确保认证。

　　测试的应用程序中cookie使用用户名做ECB加密，然后base64编码。ECB加密以8个字节为一块进行分组加密。我们来看看ECB模式会对认证造成什么样的影响，以及怎样利用这个缺陷去进行攻击[hw3] ，在这个例子中我们会尝试在不知道admin密码的情况下利用ECB加密模式的缺陷去登录admin帐号。

　　首先分别注册用户test1、test2，密码均为password，分别查看cookie。

　　test1的cookie：auth=vHMQ%2FNq9C3MHT8ZkGeMr4w%3D%3D

　　test2的cookie：auth=Mh%2BJMH1OMhcHT8ZkGeMr4w%3D%3D

　　很明显cookie已经做过了base64编码了，我们先将它们解码一下。下面进行的解码是通过ruby命令实现的。

　　test1：xBCsx10xFCxDAxBDvsaOxC6dx19xE3+xE3

　　test2： 2x1Fx890}N2x17aOxC6dx19xE3+xE3

　　我们可以看到解码出来的数据都包含一串相同的部分：aOxC6dx19xE3+xE3 ，接下来，我们尝试通过利用ECB密码的缺陷，直接通过修改cookie登录admin账号 。

　　现在，我们创建一个用户名为aaaa aaaa aaaa aaaa aaaa的帐号。这个帐号的cookie为auth=GkzSM2vKHdcaTNIza8od1wS28inRHiC2GkzSM2vKHdcaTNIza8od1ys96EXmirn5

　　进行解码出来得到：

　　x1ALxD23kxCAx1DxD7x1ALxD23kxCAx1DxD7x04xB6xF2)xD1x1ExB6x1ALxD23kxCAx1DxD7x1ALxD23kxCAx1DxD7+=xE8ExE6x8AxB9xF9

　　可以看到，上面解码后的cookie包含有重复的x1ALxD23kxCAx1DxD7。我们猜测这是对aaaaaaaa进行ECB加密得到的结果。

　　我们再注册一个帐号，用户名为aaaaaaaa admin（即8个a后面再跟着admin），密码任意。注册完后，查看这个帐号的cookie，为：auth=GkzSM2vKHdeNfdXZwrPF0A%3D%3D。

　　对这个cookie进行解码。

　　从解码结果我们可以看到x1ALxD23kxCAx1DxD7这一部分是和上一步aaaaaaaaaaaaaaaaaaaa这个帐号的cookie解码得到的重复出现的一部分是相同的。这部分实际上是对aaaaaaaa这8个字节进行ECB加密的结果。我们把x1ALxD23kxCAx1DxD7这部分去掉，只剩下admin加密的结果，取x8D}xD5xD9xC2xB3xC5xD0编码一下 。

　　我们把编码后的base64码作为cookie提交。这时我们已经成功以admin的身份登录了。

　　0×3 总结

　　从各种各样的数据泄漏安全事件中，我们可以看到数据已经成为了黑客攻击的一个主要目标。同时，数据也成为了企业重点保护对象。为了防止黑客攻击，对数据进行加密是非常必要的。但仅仅考虑对数据进行加密是远远不够的，我们还应该进一步考虑所采用的数据加密算法是否安全。ECB加密的缺点在于同样的明文组会得到同样的密文组，相对于ECB模式来说，CBC模式则较安全，攻击者不易发起主动攻击，同时，CBC（密码分组链接）适合于传输长度较长的报文，依据的是SSL、IPSEC的标准。

　　本文版权属于NSTRT团队，由TRT团队成员夏殇攒写。如有兴趣可关注我们的微信公众号trt917，我们会定期分享一些信息安全相关知识，希望能够对大家有所帮助。