长度扩展攻击

一、 简介
长度扩展攻击（length extension attack），是指针对某些允许包含额外信息的 加密散列函数的攻击手段。对于满足以下条件的散列函数，都可以作为攻击对象：
① 加密前将待加密的明文按一定规则填充到固定长度（例如512或1024比特）的倍数；
② 按照该固定长度，将明文分块加密，并用前一个块的加密结果，作为下一块加密的初始向量。
满足上述要求的散列函数称为Merkle–Damgård散列函数（Merkle–Damgård hash function），下列散列函数都属于Merkle–Damgård散列函数：
MD4
MD5（本题要用到）
RIPEMD-160
SHA-0
SHA-1
SHA-256
SHA-512
WHIRLPOOL
对于H(salt+data)形式的加密，在以下条件满足的情况下，攻击者可以通过该方法获取H(salt+一定规则构造的data)：
① 知道密文的加密算法且该算法满足Merkle–Damgård散列函数特征；
② 不知道salt，但知道salt的长度，并可控制data的值；
③ 可以得到一个H(salt+data)的值。

二、攻击方法详解

下面以MD5算法为例，讲述该攻击方式如何进行攻击。
MD5的算法步骤：
步骤1：
我们是对一个字符串进行MD5加密，所以我们先从字符串的处理开始。首先我们要知道一个字符的长度是8位（bit），即一个字节的长度。现在我们要做的就是将一个字符串Str1分割成每512位为一个分组，形如N*512+R，最后多出来的不足512位的R部分先填充一个1，再接无数个0，直到补足512位。这里要注意，R为0时也要补位，这时候补512位，最高位1，形如1000…00；如果R超出448，除了要补满这个分组外，还要再补上一个512位的分组（因为超过448位则不能留64位出来存放字符串的原长）。
字符串分块保存：一个512位的字符串分组要分成16个32位的子分组，在每个32位中，以字节为单位通过小端规则存入一个32位的变量中，可以考虑用int类型的变量（一个int变量32位），也可以考虑用unsigned int，这样之后涉及的循环移位就不用考虑符号位了，这里还是以int为例。因为一个字符就是一个字节（8位），所以一个int类型变量能存放4个字符，假设一个字符串abcd，那么存在一个int类型变量中就是dcba。因此这里我们将字符串每4个字符分成一块，每一个块都以小端规则存放在一个int类型的变量中。
补充好后的Str2长度为（N+1）*512位（如果R超出448，则是（N+2）512），此时最低的64位预留，用来存放之前str1的长度length（长度为字符个数8 bit）的值，如果这个length值的二进制位数大于64位，则只保留最低的64位。将这个64位的length放入之前填充好的str2的最后64位。又要注意了：将length的64位分成2个32位，相当于2个字（1个字32位），再将这个2个字用类似小端规则排列，分别填入预留的64位。假设64位分成AB（A,B分别表示32位的二进制数，A是高位，B是低位），按小端规则排列后就是BA，将形如BA的64位按B（高位）到A（低位）的顺序填入str2预留的64位,而对A，B内部显示的每个字节则不用做处理。假设长度 0x12，则按A,B两个字来补位可以得：A=0x0000 0000，B=0x0000 0012。

假设一个字符串abcde，一共5个字符，长度length 为 5* 8 = 40 = 0x28。512位转化成十六进制就是64位。原字符串十六进制表示：61 62 63 64 65 00 00…00。完成补位后共512位，只有1个分组，形如： 61 62 63 64 65 80 00… 00（“80”的二进制是1000 0000，即之前的先补一个1，再补很多0的做法）。一个int M[16]的数组就够存了，即
M[0] = 64 63 62 61，

M[1] = 00 00 80 65，

M[2] = 0，

M[3] = 0

…

M[14] = 00 00 00 28，

M[15] = 0
M[0]~M[15]设好之后，在内存中就是这样存的61 62 63 64 65 80 00…00（注意这里我们用MD5处理字符串时都考虑内存中的数据的排列顺序，得出的MD5也是需要按内存中的数据输出，所以经常要用小端规则转换）
步骤2
MD5有四个32位的被称作链接变量的整数参数，我们进行如下设置：

A=0x67452301，

B=0xefcdab89，

C=0x98badcfe，

D=0x10325476。

数据这样设置之后，存在内存中就按小端规则排列：01 23 45 67 89 ab cd ef …32 10

再声明四个中间变量a,b,c,d，赋值：a = A, b = B, c = C, d = D。
接着再设置四个非线性函数：

F(X,Y,Z) =(X&Y)|((~X)&Z)

G(X,Y,Z) =(X&Z)|(Y&(~Z))

H(X,Y,Z) =X^YZ

I(X,Y,Z)=Y^(X|(~Z))

（&是与，|是或，~是非，^是异或）

这四个函数的说明：如果X、Y和Z的对应位是独立和均匀的，那么结果的每一位也应是独立和均匀的。

假设M[j]表示消息的第j个子分组（从0到15），<<<s表示循环左移s，常数ti是4294967296*abs(sin(i))的整数部分，i取值从1到64，单位是弧度。(4294967296等于2的32次方)
FF(a, b, c, d, M[j], s, ti)表示 a = b + ((a + F(b, c, d) + Mj + ti) <<< s)

GG(a, b, c, d, M[j], s, ti)表示 a = b + ((a + G(b, c, d) + Mj + ti) <<< s)

HH(a, b, c, d, M[j], s, ti)表示 a = b + ((a + H(b, c, d) + Mj + ti) <<< s)

II(a, b, c, d, M[j], s, ti)表示 a = b + ((a + I(b, c, d) + Mj + ti) <<< s)

步骤3
接下来就是要进行一个MD5算法的主要循环了，这个循环的循环次数为512位分组的个数（即之前提到的N+1或者N+2）。

a = A; b = B; c = C; d = D;//传说中的对M[j]的第一轮循环FF(a,b,c,d,M[0],7,0xd76aa478);FF(d,a,b,c,M[1],12,0xe8c7b756);FF(c,d,a,b,M[2],17,0x242070db);FF(b,c,d,a,M[3],22,0xc1bdceee);FF(a,b,c,d,M[4],7,0xf57c0faf);FF(d,a,b,c,M[5],12,0x4787c62a);FF(c,d,a,b,M[6],17,0xa8304613);FF(b,c,d,a,M[7],22,0xfd469501) ;FF(a,b,c,d,M[8],7,0x698098d8) ;FF(d,a,b,c,M[9],12,0x8b44f7af) ;FF(c,d,a,b,M[10],17,0xffff5bb1) ;FF(b,c,d,a,M[11],22,0x895cd7be) ;FF(a,b,c,d,M[12],7,0x6b901122) ;FF(d,a,b,c,M[13],12,0xfd987193) ;FF(c,d,a,b,M[14],17,0xa679438e) ;FF(b,c,d,a,M[15],22,0x49b40821);//传说中对M[j]的第二轮循环GG(a,b,c,d,M[1],5,0xf61e2562);GG(d,a,b,c,M[6],9,0xc040b340);GG(c,d,a,b,M[11],14,0x265e5a51);GG(b,c,d,a,M[0],20,0xe9b6c7aa) ;GG(a,b,c,d,M[5],5,0xd62f105d) ;GG(d,a,b,c,M[10],9,0x02441453) ;GG(c,d,a,b,M[15],14,0xd8a1e681);GG(b,c,d,a,M[4],20,0xe7d3fbc8) ;GG(a,b,c,d,M[9],5,0x21e1cde6) ;GG(d,a,b,c,M[14],9,0xc33707d6) ;GG(c,d,a,b,M[3],14,0xf4d50d87) ;GG(b,c,d,a,M[8],20,0x455a14ed);GG(a,b,c,d,M[13],5,0xa9e3e905);GG(d,a,b,c,M[2],9,0xfcefa3f8) ;GG(c,d,a,b,M[7],14,0x676f02d9) ;GG(b,c,d,a,M[12],20,0x8d2a4c8a);//传说中对M[j]的第三轮循环HH(a,b,c,d,M[5],4,0xfffa3942);HH(d,a,b,c,M[8],11,0x8771f681);HH(c,d,a,b,M[11],16,0x6d9d6122);HH(b,c,d,a,M[14],23,0xfde5380c) ;HH(a,b,c,d,M[1],4,0xa4beea44) ;HH(d,a,b,c,M[4],11,0x4bdecfa9) ;HH(c,d,a,b,M[7],16,0xf6bb4b60) ;HH(b,c,d,a,M[10],23,0xbebfbc70);HH(a,b,c,d,M[13],4,0x289b7ec6);HH(d,a,b,c,M[0],11,0xeaa127fa);HH(c,d,a,b,M[3],16,0xd4ef3085);HH(b,c,d,a,M[6],23,0x04881d05);HH(a,b,c,d,M[9],4,0xd9d4d039);HH(d,a,b,c,M[12],11,0xe6db99e5);HH(c,d,a,b,M[15],16,0x1fa27cf8) ;HH(b,c,d,a,M[2],23,0xc4ac5665);//传说中对M[j]的第四轮循环II(a,b,c,d,M[0],6,0xf4292244) ;II(d,a,b,c,M[7],10,0x432aff97) ;II(c,d,a,b,M[14],15,0xab9423a7);II(b,c,d,a,M[5],21,0xfc93a039) ;II(a,b,c,d,M[12],6,0x655b59c3) ;II(d,a,b,c,M[3],10,0x8f0ccc92) ;II(c,d,a,b,M[10],15,0xffeff47d);II(b,c,d,a,M[1],21,0x85845dd1) ;II(a,b,c,d,M[8],6,0x6fa87e4f) ;II(d,a,b,c,M[15],10,0xfe2ce6e0);II(c,d,a,b,M[6],15,0xa3014314) ;II(b,c,d,a,M[13],21,0x4e0811a1);II(a,b,c,d,M[4],6,0xf7537e82) ;II(d,a,b,c,M[11],10,0xbd3af235);II(c,d,a,b,M[2],15,0x2ad7d2bb);II(b,c,d,a,M[9],21,0xeb86d391);A += a;B += b;C += c;D += d;｝

步骤4
处理完所有的512位的分组后，得到一组新的A,B,C,D的值，将这些值按ABCD的顺序级联，然后输出。这里还要注意，输出的MD5是按内存中数值的排列顺序，所以我们要分别对A,B,C,D的值做一个小端规则的转换。举个例子：A有32位，分成4个字节A1A2A3A4。输出A的时候，要这样输出：A4A3 A2A1。这样就能输出正确的MD5了。

它的实现是满足上面所说的Merkle–Damgård散列函数的两个条件的，具体过程是这样的：
1.填充
拿到明文后，MD5现将明文转为二进制文件，然后将二进制文件的长度除以512比特（即64字节），如果余数等于448比特（即64-8字节），那么直接在后面加上八个字节的长度标识，使之成为512比特的倍数。否则则在明文后填一个1，再填充0直至其长度除以512等于448，再加上8位的长度标识。长度是使用大端序（big Endian）来存储，即低字节放在高地址位上。

比如加密的明文是admin，其二进制文件以16进制表示是0x61646d696e，长度是40比特（5字节），那么需要补充408比特（51字节）的填充符，填充内容第一位是1，其余全部是0。16进制表示是0x800000000000000000000000000000000000000000000000000。然后再添加8个字节的长度标识，admin长度为40比特，16进制是0x28，这个28要放在高位，就是0x280000000000000。结果如下所示：

MD5中存储的都是小端方式！
举个例子：假如我们这一块值为0x12345678
那么在MD5运算时候存储的顺序是 0x78563412
这也是之所以后8字节为长度，而第1字节先有数据的原因
2.分块运算
填充完毕后，函数就将填充后的明文以512比特的长度分块，进行运算。在运算中会用到四个初始向量（MD5中称作链变量，Chaining Variable），分别是A=0x67452301，B=0xefcdab89，C=0x98badcfe，D=0x10325476。经过一系列复杂的数学运算，函数会得到第一块的MD5值，然后将该MD5值分成四块，以大端序形成新的链变量，投入到第二块的运算，形成新的MD5值……以此类推，直到算出最后一块的MD5值，就是整个数据块的MD5值。

例如加密的明文是adminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadminadmin（105字节）
首先根据①的描述的算法填充后，分成两块进行运算，第一块是adminadminadminadminadminadminadminadminadminadminadminadminadmi（512比特），其MD5码是e7d6ca05773d038378f5e2674850be25，分成四块并以大端序存储，则A=0x05cad6e7，B=0x83033d77，C=0x76e2f578，D=0x25be5048（先把32个字节分为4组，然后小端存储）。将这四个变量作为链变量投入运算，再将第二部分加密，得到最终的MD5值是9ea2d490481dbcdadf61e7e404b99585。

如果攻击者知道MD5(salt+data)的值并可控制data的值，攻击者可以设定data为与data+padding+append等长的任意字符串，然后计算MD5(str+append)。我们知道，MD5需要先填充再运算，攻击者可以在程序计算append所在块之前，将MD5(salt+data)的值直接替换掉初始的链变量，就能够算出MD5(salt+data+padding+append)的值了。设MD5(CV,data)表示以链变量CV计算data的MD5值，那么（为简便起见，这里设append的长度不超过448比特，超过的原理也类似）
MD5(IV, salt+data+padding+append) = MD5(MD5(IV, salt+data), append)
之所以要知道salt的长度，是为了确保salt+data+padding+append和攻击者输入的data拥有相同的填充（即padding2相等），以确保最后一步的运算得到相同的结果
注：所谓加Salt，就是加点“佐料”。当用户首次提供密码时（通常是注册时），由系统自动往这个密码里加一些“Salt值”，这个值是由系统随机生成的，并且只有系统知道。然后再散列。而当用户登录时，系统为用户提供的代码撒上同样的“Salt值”，然后散列，再比较散列值，已确定密码是否正确。

这样，即便两个用户使用了同一个密码，由于系统为它们生成的salt值不同，他们的散列值也是不同的。即便黑客可以通过自己的密码和自己生成的散列值来找具有特定密码的用户，但这个几率太小了（密码和salt值都得和黑客使用的一样才行）。

Plaid CTF 2014 Crypto 250 Parlor

题目复述

首先，本菜鸟先把它翻译了一下子
1.nonce:Nonce是或Number once的缩写，在密码学中Nonce是一个只被使用一次的任意或非重复的随机数值。
在加密技术中的初始向量和加密散列函数都发挥着重要作用，在各类验证协议的通信应用中确保验证信息不被重复使用以对抗重放攻击(Replay Attack)。
2.num:num是number的简写

然后，解析题目
1、给出odds的值
2、下注bet
3、猜测一个数字（your number）
4、如果该数字满足md5（our number + your number) % odds == 0即成功

最后，解题目
首先会切成数个 64 byte 的 block
最后一个 block 如果不是 56 byte 会做 padding
padding 的方式是第一个 byte 为 \x80
接着填充\x00
最后 8 byte 补上原始长度（bit）
在 md5 会有 4 个初始量
a=Ox67452301
b=OxEFCDAB89
c=Ox98BADCFE
d=Ox10325476
接着会以a b c d 和 block[i] 为参数做一系列的运算
会得到另外四个值 aa bb cc dd
并且将 a b c d 和 aa bb cc dd 做相加
这个过程视为一个 round
aa,bb,c,c,dd=f(a,b,c,d,block[i])
a+=aa
b+=bb
c+=cc
d+=dd
a,b,c,d合并后的值为最终MD5
如果后面还有 block 就继续做运算，直到没有 block 为止
a b c d 的最终值合并后就是 md5 的结果

如果我们现在已知 md5（nonce + num） 的结果
将逆结果还原为 a b c d
并当作 function f 中 a b c d 的初始值
做一次 f（a，b，c，d，msg） 的运算
结果等同于 md5（nonce + num + padding + msg）
所以即使不知道 nonce + num
也可以预测出结果
现在我们已知MD5（nonce+num）后的结果
首先reveal nonce判断是否可行：

将odds设为100
第一次送’a\n’得到r1
r1=MD5%2**100（由题目所给条件所得）
第二次送’a\n’+padding+'b\n’得到r2
利用r1推出a，b，c，d，若结果与r2相同
则表明a是正确的并得到了完整MD5码
解密MD5可得flag：i_dunno_i_ran_out_of_clever_keys