L'histoire d'un cas de test "cassé", ou soyez prudent avec les versions d'OpenSSL ...

Avertissement. Je ne suis pas un "vrai soudeur", mais en raison de ma recherche de travaux intéressants dans le domaine de la sécurité de l'information, je résous régulièrement depuis peu divers CTF et machines sur HackTheBox. Par conséquent, quand on m'a envoyé un lien vers l'un des items de test de style CTF, je n'ai pas pu passer ...







La signification de l'item de test est assez simple. Un vidage du trafic est donné, qui contient une clé de chiffrement, des déchets et un indicateur chiffré. Nous devons les extraire et déchiffrer le drapeau. La commande OpenSSL avec laquelle cet indicateur a été chiffré est également affichée. Le trafic est assez intéressant, mais après 10 lignes de code python, j'avais une clé de cryptage, des ordures et un drapeau crypté devant moi. Il semblerait, qu'est-ce qui pourrait mal tourner?



L'affectation indique que le drapeau a été crypté avec environ la commande suivante (j'ai omis certains paramètres insignifiants et changé l'algorithme de cryptage).

echo "FLAG_xxxx…xxxxxx" | openssl enc -e -base64 -aes-256-cbc -nosalt -k $password 
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

J'ai inséré les paramètres obtenus à partir du trafic dans la commande, l'ai démarré et ... j'ai eu des ordures! J'ai réessayé. Des ordures à nouveau. J'ai essayé de reconstruire le trafic de différentes manières. Non, apparemment, le trafic ne peut être collecté que sans ambiguïté. Mais la sortie de chiffrement est encore une poubelle !!! Dans le même temps, OpenSSL avertit honnêtement qu'obtenir une clé d'un mot de passe en 1 passage est une mauvaise idée ...

echo "ENCRYPTED_FLAG" | openssl enc -d -base64 -aes-256-cbc -nosalt -k $key 
*** WARNING : deprecated key derivation used.
Using -iter or -pbkdf2 would be better.
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

Le lendemain a été passé à essayer de briser cette folie. J'ai raisonnablement pensé qu'apparemment j'avais isolé incorrectement les "déchets" spécifiés dans les conditions et j'ai écrit plusieurs options pour diviser la chaîne résultante en "mot de passe" et "drapeau chiffré" pour la "force brute" ultérieure. Cela n'a pas aidé ... J'ai commencé à comprendre profondément chacun des paramètres.



Comme nous le savons, AES nécessite une clé de cryptage et IV (vecteur d'initialisation) pour fonctionner. L'option -k nous permet d'utiliser une phrase de texte, à partir de laquelle OpenSSL lui-même obtient la clé requise et IV. Vous pouvez les voir en utilisant le paramètre -p.

echo "FLAG_123" | openssl enc -e -base64 -aes-256-cbc -nosalt -p -k "password"
*** WARNING : deprecated key derivation used.
Using -iter or -pbkdf2 would be better.
key=5E884898DA28047151D0E56F8DC6292773603D0D6AABBDD62A11EF721D1542D8
iv =3B02902846FFD32E92FF168B3F5D16B0
C11kA+GcqkU4ocOvZAVr3g==
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

Cette connaissance ne m'a rien donné non plus. Puis j'ai néanmoins décidé de revenir à l'idée la plus folle qui m'est venue. À savoir: le problème n'est pas avec moi, mais quelque chose a changé dans OpenSSL ... Le

trafic était daté de 2016, j'ai donc pris Ubuntu 14.04 et, sans trop d'espoir de succès, je viens d'y insérer les données initiales. Et du coup, au lieu de poubelle, j'ai un DRAPEAU! La soirée a cessé d'être langoureuse ... De plus, la même commande avec le même mot de passe et le paramètre -p a produit des clés de chiffrement et des IV complètement différentes!



NOUVEAU SYSTÈME (openssl 1.1.1h)

echo "FLAG_123" | openssl enc -e -base64 -aes-256-cbc -nosalt -p -k "password"
*** WARNING : deprecated key derivation used.
Using -iter or -pbkdf2 would be better.
key=5E884898DA28047151D0E56F8DC6292773603D0D6AABBDD62A11EF721D1542D8
iv =3B02902846FFD32E92FF168B3F5D16B0
C11kA+GcqkU4ocOvZAVr3g==

      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

ANCIEN SYSTÈME (openssl 1.0.1f)

echo "FLAG_123" | openssl enc -e -base64 -aes-256-cbc -nosalt -p -k "password"
key=5F4DCC3B5AA765D61D8327DEB882CF992B95990A9151374ABD8FF8C5A7A0FE08
iv =B7B4372CDFBCB3D16A2631B59B509E94
R3N+5v3zOz9QcNt08cwqcA==
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

Il est devenu clair que les craintes se confirmaient. L'algorithme de génération de Key et IV à partir d'une phrase de passe a changé, ce qui a complètement cassé la capacité de résoudre de front CTF sur les versions modernes d'OpenSSL. Dans le processus de recherche des nuances de l'implémentation, je suis tombé sur un travail très intéressant " Analyse de cryptage OpenSSL basée sur le mot de passe du protocole de dérivation de clé " et tout s'est mis en place. En bref, dans la version 1.1.0, un nouveau protocole de génération de clés à partir d'un mot de passe PBKDF2 a été ajouté, mais plus important encore, l'ancien algorithme PBKDF1 a changé l'algorithme de hachage par défaut de MD5 à SHA-256! Ainsi, le même mot de passe produit des clés et des IV différentes. Pour déchiffrer précédemment chiffré, dans les versions plus récentes, vous devez utiliser le paramètre -md md5 .



"-Md messagedigest: spécifiez le résumé de message utilisé pour la dérivation de clé de md2, md5, sha ou sha1 "



Après avoir ajouté ce paramètre, il est devenu possible d'obtenir le drapeau sur le nouvel OpenSSL. Je ne sais pas si une telle «nuance» a vraiment été prise en compte par les développeurs de la tâche de test ou ils ne l’ont tout simplement pas testée sur des systèmes modernes, mais il n’en reste pas moins que j’ai dû me plonger profondément dans certaines des subtilités d’OpenSSL.



PS Grâce à mes connaissances, j'ai déjà informé les développeurs du test de test du problème que j'ai trouvé, sinon ils sont tout à coup très surpris que ces personnes ne viennent pas chez eux ...