参考文献：http://drops.xmd5.com/static/drops/tips-7828.html
http://p0sec.net/index.php/archives/99/
原理：
通过损坏密文字节来改变明文字节。（借助CBC内部的模式）借由此可以绕过过滤器，或者改变用户权限提升至管理员，又或者改变应用程序预期明文。
加密过程：
1.png
①Plaintext：待加密的数据。
②IV：用于随机化加密的比特块，保证即使对相同明文多次加密，也可以得到不同的密文。
③Key：被一些如AES的对称加密算法使用。
④Ciphertext：加密后的数据。
CBC工作于一个固定长度的比特组，将其称之为块。。
加密：
Ciphertext-0 = Encrypt(Plaintext XOR IV)—只用于第一个组块
Ciphertext-N= Encrypt(Plaintext XOR Ciphertext-N-1)—用于第二及剩下的组块
前一块的密文用来产生后一块的密文
解密：
Plaintext-0 = Decrypt(Ciphertext) XOR IV—只用于第一个组块
Plaintext-N= Decrypt(Ciphertext) XOR Ciphertext-N-1—用于第二及剩下的组块
Ciphertext-N-1（密文-N-1）是用来产生下一块明文；这就是字节翻转攻击开始发挥作用的地方。如果改变Ciphertext-N-1（密文-N-1）的一个字节，然后与下一个解密后的组块异或，就可以得到一个不同的明文了
一道相关的ctf
<?php
include 'sqlwaf.php';
define("SECRET_KEY", "................");
define("METHOD", "aes-128-cbc");
session_start();
function get_random_iv(){
$iv='';
for($i=0;$i<16;$i++){
$iv.=chr(rand(1,255));
}
return $iv;
}
function login($info){
$iv=get_random_iv();
$plain = serialize($info);
$cipher = openssl_encrypt($plain, METHOD, SECRET_KEY, OPENSSL_RAW_DATA, $iv);
$_SESSION['username'] = $info['username'];
setcookie("iv", base64_encode($iv));
setcookie("cipher", base64_encode($cipher));
}
function show_homepage(){
if ($_SESSION["username"]==='admin'){
echo '<p>Hello admin</p>';
echo '<p>Flag is *************</p>';
}else{
echo '<p>hello '.$_SESSION['username'].'</p>';
echo '<p>Only admin can see flag</p>';
}
echo '<p><a href="loginout.php">Log out</a></p>';
die();
}
function check_login(){
if(isset($_COOKIE['cipher']) && isset($_COOKIE['iv'])){
$cipher = base64_decode($_COOKIE['cipher']);
$iv = base64_decode($_COOKIE["iv"]);
if($plain = openssl_decrypt($cipher, METHOD, SECRET_KEY, OPENSSL_RAW_DATA, $iv)){
$info = unserialize($plain) or die("<p>base64_decode('".base64_encode($plain)."') can't unserialize</p>");
$_SESSION['username'] = $info['username'];
}else{
die("ERROR!");
}
}
}
if (isset($_POST['username'])&&isset($_POST['password'])) {
$username=waf((string)$_POST['username']);
$password=waf((string)$_POST['password']);
if($username === 'admin'){
exit('<p>You are not real admin!</p>');
}else{
$info = array('username'=>$username,'password'=>$password);
login($info);
show_homepage();
}
}
else{
if(isset($_SESSION["username"])){
check_login();
show_homepage();
}
}
?>
<!DOCTYPE html>
<html lang="en" >
<head>
<meta charset="UTF-8">
<title>Paper login form</title>
<link rel="stylesheet" href="css/style.css">
</head>
<body>
<div id="login">
<form action="" method="post">
<h1>Sign In</h1>
<input name='username' type="text" placeholder="Username">
<input name='password' type="password" placeholder="Password">
<button>Sign in</button>
</div>
</body>
</html>
登录用户名如果为admin则输出flag，但是禁止了admin登录，这里就用到了CBC字节翻转攻击
解题思路
这里把登录的用户名及其密码存入数组，序列化后进行AES-CBC模式的加密，其中iv，和密文以cookie储存，可控。
使用guest登录(因为翻转目标是admin，所以登录的用户名最好也是五位)，登录后被存入数组然后序列化变成：a:2:{s:8:"username";s:5:"skctf";s:8:"password";s:5:"123";}，也就是明文
翻转目标为：a:2:{s:8:"username";s:5:"admin";s:8:"password";s:5:"123";}
- 首先将明文分成16字节的四组：
a:2:{s:8:"userna
me";s:5:"guest";
s:8:"password";s
:5:"123";}
根据CBC攻击原理，只需修改第一组密文对应第二组'guest'的位置的密文，就可以实现第二组明文的改变。即第10-14位。
利用下面脚本重新生成密文
# -*- coding: utf-8 -*-
import base64
cipher = 'HY+D3iO7JAH3cCurQDEG4EzlzTJEt4Irbcl/ahE76/JBU5CmfS/jH5uxwvuGnRIPj1cH+q5fD/3uthlP0zJWrQ=='.decode('base64')
old = "me\";s:5:\"guest\";"
new = "me\";s:5:\"admin\";"
for i in xrange(16):
cipher = cipher[:i] + chr(ord(cipher[i]) ^ ord(old[i]) ^ ord(new[i])) + cipher[i+1:]
print cipher.encode('base64').strip()
根据CBC加密原理，修改第一块的密文可以达到修改第二块密文的效果，但同时也破坏了第一块的明文，接下来就是将第一块的数据恢复。（上面得出的数据一定要进行url编码，同时也要删除username和password的值）
用上面生成的密文修改cookie：cipher得到：
1.png
获取到第一次翻转后的明文，通过修改IV来修改第一块的明文：
1.png
利用下面的脚本重新生成iv：
# -*- coding: utf-8 -*-
import base64
plain = 'Kksm2a9vhavRgnlN5bnsJG1lIjtzOjU6ImFkbWluIjtzOjg6InBhc3N3b3JkIjtzOjM6IjEyMyI7fQ=='.decode('base64')
iv = 'm3QrM6HM+MKYWZmfmkUPIQ=='.decode('base64')
old = plain[:16]
new = "a:2:{s:8:\"userna";
for i in xrange(16):
iv = iv[:i] + chr(ord(iv[i]) ^ ord(old[i]) ^ ord(new[i])) + iv[i+1:]
print iv.encode('base64').strip()
生成新的iv，修改cookie：iv，访问即可获得flag：
