前言
最近国家对信息安全越来越重视,系统安全被提上公司的日常工作,由于我们的系统大多是放在云平台上的,IAAS和PAAS安全问题花钱解决了,SAAS问题需要自己想办法,我们的系统都是基于JAVA的WEB应用,所以需要重点关注下JAVA开发的安全问题。
问题
最近下了OWASP的靶向工程WebGoat,在做到 Crypto Basics 的 XOR 作业的时候,一下卡住了,只有一个提示 :
Assignment
Now let’s see if you are able to find out the original password from this default XOR encoded string.
Suppose you found the database password encoded as {xor}Oz4rPj0+LDovPiwsKDAtOw==
What would be the actual password
一脸懵逼,默认密钥是啥不知道,翻了下原码,
竟然是直接判断 databasepassword
,表示很无语。去网上搜了下,貌似没有解题过程,只有一个哥们提到了 websphere 的一个 xor 的解密网站 http://www.poweredbywebsphere.com/decoder.html
,试了下还真可以,结果跟原码里面判断的字符串一样。
既然没有密钥解不了题,现在有了原始字符串和加密后的字符串,能不能算出密钥?如果可以的话也好方便后面的同学学习。
解决方法
说干就干,这里就不介绍XOR加密原理了(有需要了解的可以看下这篇文章https://www.boydwang.com/2019/01/xor-powershell/
)。因为XOR运算可能会导致看不见的字符,所以一般会把加密的结果使用BASE64编码成通用的字符,再看看题目里面的密文Oz4rPj0+LDovPiwsKDAtOw==
也确实很像BASE64编码后的结果,先试下BASE64解码,得到结果;>+>=>,:/>,,(0-;
,不光字符长度跟答案databasepassword
长度一样,而且每个不同位置的相同字母对应的符号是一致的,说明密钥就是一个字符,看来有戏,先拿第一个字符来算下看看密钥:
; -> 0011 1011
? -> 0101 1111
d -> 0110 0100
查下二进制0101 1111
是符号_
,再验证下第二个字符,结果一样,说明默认密钥就是是它了。到这算是成功一半了,怎么解密呢,还得再写段小代码:
import base64
o = b'Oz4rPj0+LDovPiwsKDAtOw=='
m = base64.b64decode(b'Oz4rPj0+LDovPiwsKDAtOw==')
pwd = '_'
ba = []
for b in m:
bo = chr(b ^ ord(pwd))
ba.append(bo)
print('encoded password-> %s' % o)
print('encrypted password-> %s' % m)
print('default secret key-> %s' % pwd)
print('raw password-> %s' % ''.join(ba))
结果
相信大家都已经看到结果了,到此结束,希望能帮到大家!