长度延展攻击
1.长度延展攻击
长度扩展攻击（length extension attack），是指针对某些允许包含额外信息的加密散列函数的攻击手段。
对于满足以下条件的散列函数，都可以作为攻击对象：
- ① 加密前将待加密的明文按一定规则填充到固定长度（例如512或1024比特）的倍数；
- ② 按照该固定长度，将明文分块加密，并用前一个块的加密结果，作为下一块加密的初始向量（Initial Vector）。
满足上述要求的散列函数称为Merkle–Damgård散列函数（Merkle–Damgård hash function），下列散列函数都属于Merkle–Damgård散列函数：MD4、MD5、RIPEMD-160、SHA-0、SHA-1、SHA-256、SHA-512、WHIRLPOOL
这里有两种类型的长度扩展攻击。符号||表示链接。
类型一：如果Digest（Msg1）=Digest（Msg2），并且Len（Msg1）= Len（Msg2），消 息 Msg1 ¹ Msg2，则 Digest（Msg1 ‖ Sufx）= Digest（Msg2‖Sufx）。
类型二：假设一个原始消息Msg，攻击者不知道消息的内 容，给定 Len（Msg），填充消息 X，Digest（Msg），对于一个适当 的后缀，攻击者可以计算出Digest（Msg‖Sufx）。
通过消息的填充可以抵抗第一类型的攻击；第二类的攻 击可以通过大的内部状态来预防。链接变量循环的Hash结构 中使用了消息填充，可以抵抗第一类型的攻击；链接变量长度 n 远大于Hash值长度 l(n > 2l) ，也就是说Hash值长度小于链接 变量长度，使得计算 Msg‖Sufx 的 Hash 值时，无法连接。因 此，可以抵抗第二类长度扩展攻击。
对于H(salt+data)形式的加密，在以下条件满足的情况下，攻击者可以通过该方法获取H(salt+一定规则构造的data)：
- ① 知道密文的加密算法且该算法满足Merkle–Damgård散列函数特征；
- ② 不知道salt，但知道salt的长度，并可控制data的值；
- ③ 可以得到一个H(salt+data)的值。
下面以MD5算法为例，讲述该攻击方式如何进行攻击，具体过程如下：
- ① 填充
拿到明文后，MD5现将明文转为二进制文件，然后将二进制文件的长度除以512比特（即64字节），如果余数等于448比特（即64-8字节），那么直接在后面加上八个字节的长度标识，使之成为512比特的倍数。否则则在明文后填一个1，再填充0直至其长度除以512等于448，再加上8位的长度标识。长度是使用大端序（big Endian）来存储，即低字节放在高地址位上。
比如加密的明文是admin，其二进制文件以16进制表示是0x61646d696e，长度是40比特（5字节），那么需要补充408比特（51字节）的填充符，填充内容第一位是1，其余全部是0。16进制表示是0x800000000000000000000000000000000000000000000000000。然后再添加8个字节的长度标识，admin长度为40比特，16进制是0x28，这个28要放在高位，就是0x280000000000000。结果如下所示：
- ② 分块运算
填充完毕后，函数就将填充后的明文以512比特的长度分块，进行运算。在运算中会用到四个初始向量（MD5中称作链变量，Chaining Variable），分别是A=0x67452301，B=0xefcdab89，C=0x98badcfe，D=0x10325476。经过一系列复杂的数学运算，函数会得到第一块的MD5值，然后将该MD5值分成四块，以大端序形成新的链变量，投入到第二块的运算，形成新的MD5值……以此类推，直到算出最后一块的MD5值，就是整个数据块的MD5值。
例如加密的明文是adminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadmin，首先根据①的描述的算法填充后，分成两块进行运算，第一块是adminadminadminadminadminadminadminadminadminadminadminadminadmi，其MD5码是e7d6ca05773d038378f5e2674850be25，分成四块并以大端序存储，则A=0x05cad6e7，B=0x83033d77，C=0x76e2f578，D=0x25be5048。将这四个变量作为链变量投入运算，再将第二部分加密，得到最终的MD5值是9ea2d490481dbcdadf61e7e404b99585。
参考资料
2.长度延展攻击的ctf试题案例（采用hashpump）
解题链接：http://ctf5.shiyanbar.com/web/kzhan.php
原文链接：https://blog.csdn.net/dyw_666666/article/details/89448729
抓包：
尝试修改sourece值为1时，源码出现，如图：
$flag = "XXXXXXXXXXXXXXXXXXXXXXX";
$secret = "XXXXXXXXXXXXXXX"; // This secret is 15 characters long for security!
$username = $_POST["username"];
$password = $_POST["password"];
if (!empty($_COOKIE["getmein"])) {
if (urldecode($username) === "admin" && urldecode($password) != "admin") {
if ($COOKIE["getmein"] === md5($secret . urldecode($username . $password))) {
echo "Congratulations! You are a registered user.\n";
die ("The flag is ". $flag);
}
else {
die ("Your cookies don't match up! STOP HACKING THIS SITE.");
}
} else {
die ("You are not an admin! LEAVE.");
}
}
setcookie("sample-hash", md5($secret . urldecode("admin" . "admin")), time() + (60 * 60 * 24 * 7));
if (empty($_COOKIE["source"])) {
setcookie("source", 0, time() + (60 * 60 * 24 * 7));
} else {
if ($_COOKIE["source"] != 0) {
echo ""; // This source code is outputted here
}
}
分析可知，用户名为admin，密码不能为admin，且cookie中getmein的值需要和md5($secret.urldecode(username . password)相等。才能通过验证。
以下为有用信息：
- secrect也就是密文的长度为15。
- md5($serect,”adminadmin”)的哈希。
- 用户名为admin。
整理下我们知道的数据：
- secret的长度为15，再加上第一个admin就是20。
- 哈希值为571580b26c65f306376d4f64e53cb5c7。
- data为第二个admin。
- add数据为任意。
这时候我们就可以使用HashPump了。
HashPump的安装及使用方法
把内容中值反转一下，把\x替换为%：
admin%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%c8%00%00%00%00%00%00%00dyw
4a159f3519478f255d7b95df3cb036f8
将其输入到cookie对应的参数getmein中，获得flag：
