WebGoat - Crypto Basics 之 XOR 作业

前言

最近国家对信息安全越来越重视，系统安全被提上公司的日常工作，由于我们的系统大多是放在云平台上的，IAAS和PAAS安全问题花钱解决了，SAAS问题需要自己想办法，我们的系统都是基于JAVA的WEB应用，所以需要重点关注下JAVA开发的安全问题。

问题

最近下了OWASP的靶向工程WebGoat，在做到 Crypto Basics 的 XOR 作业的时候，一下卡住了，只有一个提示 ：

Assignment
Now let’s see if you are able to find out the original password from this default XOR encoded string.
Suppose you found the database password encoded as {xor}Oz4rPj0+LDovPiwsKDAtOw==
What would be the actual password

一脸懵逼，默认密钥是啥不知道，翻了下原码，

竟然是直接判断 databasepassword ，表示很无语。去网上搜了下，貌似没有解题过程，只有一个哥们提到了 websphere 的一个 xor 的解密网站 http://www.poweredbywebsphere.com/decoder.html，试了下还真可以，结果跟原码里面判断的字符串一样。
既然没有密钥解不了题，现在有了原始字符串和加密后的字符串，能不能算出密钥？如果可以的话也好方便后面的同学学习。

解决方法

说干就干，这里就不介绍XOR加密原理了（有需要了解的可以看下这篇文章https://www.boydwang.com/2019/01/xor-powershell/）。因为XOR运算可能会导致看不见的字符，所以一般会把加密的结果使用BASE64编码成通用的字符，再看看题目里面的密文Oz4rPj0+LDovPiwsKDAtOw==也确实很像BASE64编码后的结果，先试下BASE64解码，得到结果;>+>=>,:/>,,(0-;，不光字符长度跟答案databasepassword长度一样，而且每个不同位置的相同字母对应的符号是一致的，说明密钥就是一个字符，看来有戏，先拿第一个字符来算下看看密钥：

; -> 0011 1011
? -> 0101 1111
d -> 0110 0100

查下二进制0101 1111 是符号_，再验证下第二个字符，结果一样，说明默认密钥就是是它了。到这算是成功一半了，怎么解密呢，还得再写段小代码：

import base64

o = b'Oz4rPj0+LDovPiwsKDAtOw=='
m = base64.b64decode(b'Oz4rPj0+LDovPiwsKDAtOw==')
pwd = '_'
ba = []
for b in m:
    bo = chr(b ^ ord(pwd))
    ba.append(bo)

print('encoded password-> %s' % o)
print('encrypted password-> %s' % m)
print('default secret key-> %s' % pwd)
print('raw password-> %s' % ''.join(ba))

结果

相信大家都已经看到结果了，到此结束，希望能帮到大家！