> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/web/business-logic/authentication-bypass-via-encryption-oracle.md).
# Authentifizierungsumgehung durch Encryption Oracle
Notizen zur Authentifizierungsumgehung durch Encryption Oracle für die Labs der PortSwigger Web Security Academy, einschließlich Ausnutzungsablauf, Payload-Tests, Burp-Suite-Validierung und Behebungskontext.
### Authentifizierungsumgehung über ein Verschlüsselungs-Orakel
**Beschreibung des Labs**
Dieses Labor weist eine logische Schwachstelle auf, die ein \*\*serverseitiges Verschlüsselungs\*\*orakel offenlegt. Durch Ausnutzen dieser Schwäche ist es möglich, einen gültigen verschlüsselten Wert zu fälschen, um die Authentifizierung zu umgehen, auf das Admin-Panel zuzugreifen und den Benutzer zu löschen **carlos**.
Bereitgestellte Kennung:
* Benutzer: `wiener`
* Passwort: `peter`
**Erste Beobachtung**
Auf der Anmeldeseite ist die **Angemeldet bleiben** Option verfügbar.
Wenn sie verwendet wird, wird ein in **Base64 kodieren** verschlüsseltes Cookie generiert und auf der Kundenseite gespeichert.
```bash
echo '0HE6oMYJL//S1fLwttqR7WMF3EX4KJmvfFRI53qpVnk=' | base64 -d
# Der dekodierte Wert ist binärer Chiffretext, kein lesbarer Text.
```
### Identifizierung des Verschlüsselungs-Orakels
Wenn ein gültiger Kommentar eingereicht wird, wird keine spezifische Antwort beobachtet.
Wenn jedoch ein Kommentar einen Anwendungsfehler verursacht (z. B. eine ungültige E-Mail-Adresse), dann:
* wird eine Fehlermeldung zurückgegeben, die auf dem Bildschirm angezeigt wird;
{% code overflow="wrap" %}
```bash
csrf=cFMQUjAyzETtEr8TLsoir7V5p4C3m4ZG&postId=4&comment=test&name=test&email=test&website=https://localhost
```
{% endcode %}
* ein neues Cookie wird generiert `Benachrichtigung`\*\*, verschlüsselt.
Der angezeigte Inhalt lautet beispielsweise:
Das zeigt Folgendes:
* der Server \*\*entschlüsselt den Inhalt des `Benachrichtigung` Cookies;
Der Server fungiert daher als ein **Orakel für Verschlüsselung und Entschlüsselung**.
* der entschlüsselte Text ist **erneut in die HTML-Antwort eingefügt**.
### Korrelation mit dem Cookie
Durch Einschleusen des verschlüsselten Werts des Cookies \*\*
Das beobachtete Format lautet:
Dies entspricht eindeutig:
* einem Benutzernamen;
* einem Zeitstempel.
#### Fälschung einer Administrator-Identität
Ziel ist es, den Server dazu zu bringen, die folgende Zeichenfolge zu verschlüsseln:
```bash
administrator:1766913113564
```
Dazu wird dieser Wert in das anfällige Feld (ungültiger Kommentar/ungültige E-Mail) eingeschleust, wodurch:
* die Fehlermeldung angezeigt wird, die diese Zeichenfolge enthält;
die Generierung eines neuen `Benachrichtigung` Cookies, einschließlich des eingeschleusten Textes.
{% code overflow="wrap" %}
```bash
Set-Cookie: notification=VQbs3ex4CbvKjTm0LM5wuZa79pnAzKI9MEsa1O0MbX%2fJpfl9baj6yL3ryxh4u6nyiWHVwxP7%2fVDPyft%2f1qAbbQ%3d%3d; HttpOnly
```
{% endcode %}
### Identifizierung des Verschlüsselungsalgorithmus
Durch beliebiges Kürzen des verschlüsselten Werts gibt der Server den folgenden Fehler zurück
```bash
PTBLGtTtDG1/yaX5fW2o%2bsi968sYeLup8olh1cMT%2b/1Qz8n7f9agG20%3d
```
`Die Eingabelänge muss beim Entschlüsseln mit einem gepaddeten Chiffreverfahren ein Vielfaches von 16 sein`
Dies deutet eindeutig auf die Verwendung von **AES mit Padding**, arbeitet in Blöcken von **16 Byte**.
#### Manipulation von Chiffreblöcken
Das aufgetretene Problem ist das Vorhandensein ungültiger Padding-Zeichen am Ende der Nachricht. / Um dies zu beheben, wird der eingefügte String von Füllzeichen vorangestellt, um die Blöcke korrekt auszurichten:
```
xxxxxxxxxadministrator:1766913113564
```
Anschließend wird ein neues verschlüsseltes Cookie generiert.
VQbs3ex4CbvKjTm0LM5wuZJqwlVboMZ2IzNuiTfVH6iHj9RZUT59d5kGoS64tVE5wWiEfmp6VbJG%2bb%2fNW5%2bblA%3d%3d
### Zerschneiden und Neu zusammensetzen des Cookies
Durch Löschen der ersten **zwei verschlüsselten Blöcke** (entsprechend den Füllzeichen) bleiben nur die Blöcke übrig, die Folgendes enthalten:
Dieser endgültige verschlüsselte Wert wird vom Server akzeptiert.
```
h4/UWVE%2bfXeZBqEuuLVROcFohH5qelWyRvm/zVufm5Q%3d
```
#### Authentifizierung umgehen
Abschließende Schritte:
1. Löschen Sie das vorhandene Session-Cookie.
2. Ersetzen Sie den Wert des Cookies \*\*
3. Laden Sie die Seite neu.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/de/web/business-logic/authentication-bypass-via-encryption-oracle.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
