Hash拓展攻击（hash length extension attacks）

遇到一个不一样的hash拓展攻击

flag在管理员手里

页面提示Only Admin can see the flag!!

抓包看到cookie

Cookie: role=s%3A5%3A%22guest%22%3B; hsh=3a4727d57463f122833d9e732f94e4e0

role的值进行urldecode后是s:5:"guest";

guest改成admin果然也没用，再看hsh，见过这种类型的就是hash拓展攻击了

但没有源码，找一下源码泄漏

常用方法： ctf/web源码泄露及利用办法

不过这题在index.php~里，得用vim -r恢复，不然很难看

<!DOCTYPE html>
<html>
<head>
<title>Web 350</title>
<style type="text/css">
        body {
                background:gray;
                text-align:center;
        }
</style>
</head>

<body>
        <?php
                $auth = false;
                $role = "guest";
                $salt =
                if (isset($_COOKIE["role"])) {
                        $role = unserialize($_COOKIE["role"]);
                        $hsh = $_COOKIE["hsh"];
                        if ($role==="admin" && $hsh === md5($salt.strrev($_COOKIE["role"]))) {
                                $auth = true;
                        } else {
                                $auth = false;
                        }
                } else {
                        $s = serialize($role);
                        setcookie('role',$s);
                        $hsh = md5($salt.strrev($s));
                        setcookie('hsh',$hsh);
                }
                if ($auth) {
                        echo "<h3>Welcome Admin. Your flag is 
                } else {
                        echo "<h3>Only Admin can see the flag!!</h3>";
                }
        ?>
        
</body>
</html>

需要满足

$role==="admin" && $hsh === md5($salt.strrev($_COOKIE["role"]))

因为strrev会反转字符串,hashpump添加的内容为逆序较好，便于后期替换

>>> print('s:5:"guest";'[::-1])
;"tseug":5:s 
同样，有
;"nimda":5:s

到这里还缺少一个至关重要的因素就是salt的长度

这也是和之前见过的hash拓展攻击题目不同的一点

无奈看一些WP用的开源工具hash_extender，但我看不太懂，脚本也折腾不起来

我的想法是

反正只要爆破下长度就行，用hashpump能得到新的role和hsh

得到的新hsh的值是不变的，不同的长度role的值不同

hashpump用法如下：

hashpump --signature 3a4727d57463f122833d9e732f94e4e0 --data ';"tseug":5:s' --additional ';"nimda":5:s' --keylength 12

整个简单的shell，输出10-30长度的role

#!/bin/bash
for ((i=10;i<=30;i++))
  do
    hashpump --signature 3a4727d57463f122833d9e732f94e4e0 --data ';"tseug":5:s' --additional ';"nimda":5:s' --keylength $i 
 done

./hashpump.sh > role.txt输出到文本

进行简单的文本处理后，上脚本挨个试一试

也能得到flag，salt长度12

不过，由于url解码，role中个别字符要调整