Cipher Block Chaining CBC-MAC
最后更新于
最后更新于
如果cookie只是用户名（或cookie的第一部分是用户名），而您想要冒充用户名"admin"。那么，您可以创建用户名**"bdmin"并暴力破解cookie的第一个字节**。
在密码学中，密码块链接消息认证码（CBC-MAC）是一种从块密码构造消息认证码的技术。消息使用某种块密码算法在CBC模式下加密，以创建一个块链，使得每个块依赖于前一个块的正确加密。这种相互依赖确保对任何明文位的更改将导致最终加密块以一种不能预测或抵消的方式发生更改，而不知道块密码的密钥。
要计算消息m的CBC-MAC，需要使用零初始化向量在CBC模式下加密m并保留最后一个块。以下图示了使用秘密密钥k和块密码E计算消息包含块的CBC-MAC的计算过程：
使用CBC-MAC时，通常使用的IV为0。
这是一个问题，因为独立的2个已知消息（m1和m2）将生成2个签名（s1和s2）。因此：
E(m1 XOR 0) = s1
E(m2 XOR 0) = s2
然后，由m1和m2连接而成的消息（m3）将生成2个签名（s31和s32）：
E(m1 XOR 0) = s31 = s1
E(m2 XOR s1) = s32
这是可以在不知道加密密钥的情况下计算的。
想象一下，您正在以8字节块加密名称Administrator：
Administ
rator\00\00\00
您可以创建一个名为Administ（m1）的用户名并检索签名（s1）。
然后，您可以创建一个名为rator\00\00\00 XOR s1结果的用户名。这将生成E(m2 XOR s1 XOR 0)，即s32。
现在，您可以使用s32作为完整名称Administrator的签名。
获取用户名Administ（m1）的签名，即s1
获取用户名rator\x00\x00\x00 XOR s1 XOR 0的签名为s32**。**
将cookie设置为s32，它将成为用户Administrator的有效cookie。
如果您可以控制使用的IV，则攻击可能会变得非常容易。 如果cookie只是加密的用户名，要冒充用户"administrator"，您可以创建用户"Administrator"并获取其cookie。 现在，如果您可以控制IV，您可以更改IV的第一个字节，使得IV[0] XOR "A" == IV'[0] XOR "a"，并重新生成用户Administrator的cookie。这个cookie将有效地冒充初始IV下的用户administrator。
