一、前言AES-CBC 是 Web、CTF 中最常见的分组加密模式之一相比 ECB 解决了明文重复密文重复的缺陷但CBC 仅提供机密性不自带完整性校验。比特翻转攻击正是利用 CBC 解密的异或链式特性在不知道密钥的前提下篡改解密后的明文常用于越权登录、修改交易金额、绕过身份校验等攻击场景是 Web 密码安全必考漏洞。二、AES-CBC 核心加解密公式攻击根基AES 分组长度固定 128bit16 字节记K加密密钥攻击者未知IV初始向量第一块解密的前置 “虚拟密文块”\(P_i\)第 i 块明文\(C_i\)第 i 块密文\(D(K, C)\)AES 解密函数不可逆、黑盒1. 加密公式\(C_i E(K,\ P_i \oplus C_{i-1})\) \(C_0 IV\)第一块明文与 IV 异或后加密。2. 解密公式攻击核心\(P_i D(K,\ C_i) \oplus C_{i-1}\)关键结论 当前明文块 \(P_i\) 由两部分异或得到密文块 \(C_i\) 的解密结果、前一块密文 \(C_{i-1}\)。 \(D(K,C_i)\) 由密钥和 \(C_i\) 决定攻击者无法控制但攻击者可以自由修改 \(C_{i-1}\)从而精准控制 \(P_i\) 的每一个字节 / 比特。三、比特翻转攻击数学推导设原始明文\(P_i D(C_i) \oplus C_{i-1}\) 攻击者目标将 \(P_i\) 篡改至目标明文 \(P_i\)变形\(D(C_i) P_i \oplus C_{i-1}\)代入目标等式\(\begin{align*} P_i D(C_i) \oplus C_{i-1} \\ P_i (P_i \oplus C_{i-1}) \oplus C_{i-1} \end{align*}\)求解需要修改的前置密文 \(C_{i-1}\) \(C_{i-1} C_{i-1} \oplus P_i \oplus P_i\)两种攻击场景修改第一块明文 \(P_1\)\(P_1 D(C_1) \oplus IV\)修改IV\(IV IV \oplus P_1 \oplus P_1\)修改第 \(i(i1)\) 块明文 \(P_i\)修改前一块密文 \(C_{i-1}\)公式同上修改后 \(C_{i-1}\) 对应块解密会全部乱码但不影响我们关心的 \(P_i\)。攻击必须满足的 4 个前置条件攻击者可获取完整密文 IVCookie、URL 参数、响应返回知晓原始明文对应位置的原始字符可注册、回显、源码泄露攻击者能提交篡改后的密文 / IV给服务端解密服务端无完整性校验无 MAC、无 HMAC、不用 GCM/CCM 认证加密。四、实战 Python 完整 POC 演示环境依赖bash运行pip install pycryptodome场景设定服务端加密用户身份明文userguestroleuser我们要把roleuser改为roleadmin实现权限提升。 AES-128-CBC16 字节分组。python运行from Crypto.Cipher import AES from Crypto.Util.Padding import pad, unpad import base64 # 全局密钥攻击者未知仅服务端持有 KEY b1234567890abcdef BLOCK_SIZE 16 def aes_cbc_encrypt(plain: bytes, iv: bytes) - tuple[bytes, bytes]: cipher AES.new(KEY, AES.MODE_CBC, iv) ciphertext cipher.encrypt(pad(plain, BLOCK_SIZE)) return iv, ciphertext def aes_cbc_decrypt(iv: bytes, cipher: bytes) - bytes: cipher AES.new(KEY, AES.MODE_CBC, iv) return unpad(cipher.decrypt(cipher), BLOCK_SIZE) # 1. 原始加密流程 origin_plain buserguestroleuser iv, cipher aes_cbc_encrypt(origin_plain, babcdef1234567890) print(f原始明文{origin_plain.decode()}) print(f原始IV{iv.hex()}) print(f原始密文{cipher.hex()}\n) # 2. 攻击计算 # 定位roleuser 位于第二明文块需要修改第一块密文 cipher[0:16] # 原始目标段buser目标修改为 badmin offset len(buserguestrole) # 偏移到待修改位置 origin_byte buser target_byte badmin delta bytes([o ^ t for o, t in zip(origin_byte, target_byte)]) cipher_arr bytearray(cipher) # 修改前一块密文对应字节 for i in range(len(delta)): cipher_arr[offset i] ^ delta[i] # 3. 解密验证攻击结果 new_cipher bytes(cipher_arr) result_plain aes_cbc_decrypt(iv, new_cipher) print(f篡改后解密明文{result_plain.decode()})输出效果plaintext原始明文userguestroleuser 原始IV61626364656631323334353637383930 原始密文xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 篡改后解密明文userguestroleadmin成功将普通用户权限提升为管理员全程未使用密钥仅篡改密文字节。IV 篡改简化示例单块明文攻击若明文仅 1 块直接修改 IV 即可python运行# 原始明文usernametest目标 usernameadmin origin_p busernametest target_p busernameadmin delta bytes(a ^ b for a,b in zip(origin_p, target_p)) new_iv bytes(iv_byte ^ delta_byte for iv_byte, delta_byte in zip(iv, delta))五、真实安全场景攻击案例案例 1CTF Web Cookie 越权网站登录后返回加密 Cookiebase64(IV Cipher)解密内容为uid100is_admin0。已知原始明文is_admin0计算翻转量将0改为1修改前一块密文对应字节重编码 Cookie 发包服务端解密得到is_admin1获取管理员页面权限。案例 2金融交易金额篡改支付接口加密订单明文pay100toBob攻击者修改密文将金额100翻转为9999伪造大额转账。案例 3参数过滤绕过后端过滤明文不能包含admin但攻击者先用合法明文xdmin获取密文通过 IV 翻转将首字符x改为a解密后出现admin绕过黑名单。六、比特翻转攻击与填充预言机Padding Oracle区分表格维度Bit Flipping 比特翻转Padding Oracle 填充预言机攻击目的篡改已有明文内容完整爆破未知明文前置条件已知原始明文完全未知明文依赖特性异或链式可控修改PKCS7 填充错误信息泄露是否需要错误回显不需要只需观察业务逻辑变化必须区分填充正常 / 异常报错攻击成本极低单次计算即可高逐字节爆破七、安全防御方案生产环境必做1. 最优方案直接使用认证加密模式推荐放弃纯 AES-CBC使用自带机密性 完整性的标准模式AES-GCM主流 Web、接口首选AES-CCM、ChaCha20-Poly1305 这类模式会校验密文完整性任何字节篡改直接解密失败从根源杜绝比特翻转攻击。2. 坚持 CBC 模式时增加独立完整性校验加密流程密文 AES-CBC(明文) HMAC(IV密文)解密流程先校验 HMAC 签名校验失败直接丢弃密文校验通过后再执行 AES 解密。 推荐哈希SHA256/SHA3签名密钥与加密密钥分离。3. 开发规范红线禁止将 IV、密文直接暴露在 URL、Cookie、前端存储IV 必须密码学安全随机生成os.urandom不可写死、不可自增解密前统一校验长度、签名不直接信任用户可控密文禁止业务逻辑依赖未校验的解密明文。4. 误区避坑❌ 仅增加明文过滤攻击者翻转密文后绕过过滤❌ 仅加长密钥长度AES-256-CBC 依然存在翻转漏洞密钥长度不解决完整性问题❌ 自定义简单校验长度、关键词极易绕过必须密码学签名。八、总结比特翻转攻击的本质是CBC 解密的异或依赖关系修改前置密文 / IV精准控制当前明文攻击核心公式\(C_{i-1} C_{i-1} \oplus P_{origin} \oplus P_{target}\)无需破解 AES 密钥漏洞根源CBC 只保证加密不可读无内置防篡改机制生产环境唯一根治方案使用 AES-GCM 等认证加密拒绝裸 CBC 上线。拓展阅读PentesterLab CBC Bit Flipping 靶场NIST SP 800-38D GCM 模式标准文档CTF CBC 填充预言机与字节翻转复合利用
密码学博客：AES-CBC 比特翻转（Bit Flipping）攻击原理、实战与防御
一、前言AES-CBC 是 Web、CTF 中最常见的分组加密模式之一相比 ECB 解决了明文重复密文重复的缺陷但CBC 仅提供机密性不自带完整性校验。比特翻转攻击正是利用 CBC 解密的异或链式特性在不知道密钥的前提下篡改解密后的明文常用于越权登录、修改交易金额、绕过身份校验等攻击场景是 Web 密码安全必考漏洞。二、AES-CBC 核心加解密公式攻击根基AES 分组长度固定 128bit16 字节记K加密密钥攻击者未知IV初始向量第一块解密的前置 “虚拟密文块”\(P_i\)第 i 块明文\(C_i\)第 i 块密文\(D(K, C)\)AES 解密函数不可逆、黑盒1. 加密公式\(C_i E(K,\ P_i \oplus C_{i-1})\) \(C_0 IV\)第一块明文与 IV 异或后加密。2. 解密公式攻击核心\(P_i D(K,\ C_i) \oplus C_{i-1}\)关键结论 当前明文块 \(P_i\) 由两部分异或得到密文块 \(C_i\) 的解密结果、前一块密文 \(C_{i-1}\)。 \(D(K,C_i)\) 由密钥和 \(C_i\) 决定攻击者无法控制但攻击者可以自由修改 \(C_{i-1}\)从而精准控制 \(P_i\) 的每一个字节 / 比特。三、比特翻转攻击数学推导设原始明文\(P_i D(C_i) \oplus C_{i-1}\) 攻击者目标将 \(P_i\) 篡改至目标明文 \(P_i\)变形\(D(C_i) P_i \oplus C_{i-1}\)代入目标等式\(\begin{align*} P_i D(C_i) \oplus C_{i-1} \\ P_i (P_i \oplus C_{i-1}) \oplus C_{i-1} \end{align*}\)求解需要修改的前置密文 \(C_{i-1}\) \(C_{i-1} C_{i-1} \oplus P_i \oplus P_i\)两种攻击场景修改第一块明文 \(P_1\)\(P_1 D(C_1) \oplus IV\)修改IV\(IV IV \oplus P_1 \oplus P_1\)修改第 \(i(i1)\) 块明文 \(P_i\)修改前一块密文 \(C_{i-1}\)公式同上修改后 \(C_{i-1}\) 对应块解密会全部乱码但不影响我们关心的 \(P_i\)。攻击必须满足的 4 个前置条件攻击者可获取完整密文 IVCookie、URL 参数、响应返回知晓原始明文对应位置的原始字符可注册、回显、源码泄露攻击者能提交篡改后的密文 / IV给服务端解密服务端无完整性校验无 MAC、无 HMAC、不用 GCM/CCM 认证加密。四、实战 Python 完整 POC 演示环境依赖bash运行pip install pycryptodome场景设定服务端加密用户身份明文userguestroleuser我们要把roleuser改为roleadmin实现权限提升。 AES-128-CBC16 字节分组。python运行from Crypto.Cipher import AES from Crypto.Util.Padding import pad, unpad import base64 # 全局密钥攻击者未知仅服务端持有 KEY b1234567890abcdef BLOCK_SIZE 16 def aes_cbc_encrypt(plain: bytes, iv: bytes) - tuple[bytes, bytes]: cipher AES.new(KEY, AES.MODE_CBC, iv) ciphertext cipher.encrypt(pad(plain, BLOCK_SIZE)) return iv, ciphertext def aes_cbc_decrypt(iv: bytes, cipher: bytes) - bytes: cipher AES.new(KEY, AES.MODE_CBC, iv) return unpad(cipher.decrypt(cipher), BLOCK_SIZE) # 1. 原始加密流程 origin_plain buserguestroleuser iv, cipher aes_cbc_encrypt(origin_plain, babcdef1234567890) print(f原始明文{origin_plain.decode()}) print(f原始IV{iv.hex()}) print(f原始密文{cipher.hex()}\n) # 2. 攻击计算 # 定位roleuser 位于第二明文块需要修改第一块密文 cipher[0:16] # 原始目标段buser目标修改为 badmin offset len(buserguestrole) # 偏移到待修改位置 origin_byte buser target_byte badmin delta bytes([o ^ t for o, t in zip(origin_byte, target_byte)]) cipher_arr bytearray(cipher) # 修改前一块密文对应字节 for i in range(len(delta)): cipher_arr[offset i] ^ delta[i] # 3. 解密验证攻击结果 new_cipher bytes(cipher_arr) result_plain aes_cbc_decrypt(iv, new_cipher) print(f篡改后解密明文{result_plain.decode()})输出效果plaintext原始明文userguestroleuser 原始IV61626364656631323334353637383930 原始密文xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 篡改后解密明文userguestroleadmin成功将普通用户权限提升为管理员全程未使用密钥仅篡改密文字节。IV 篡改简化示例单块明文攻击若明文仅 1 块直接修改 IV 即可python运行# 原始明文usernametest目标 usernameadmin origin_p busernametest target_p busernameadmin delta bytes(a ^ b for a,b in zip(origin_p, target_p)) new_iv bytes(iv_byte ^ delta_byte for iv_byte, delta_byte in zip(iv, delta))五、真实安全场景攻击案例案例 1CTF Web Cookie 越权网站登录后返回加密 Cookiebase64(IV Cipher)解密内容为uid100is_admin0。已知原始明文is_admin0计算翻转量将0改为1修改前一块密文对应字节重编码 Cookie 发包服务端解密得到is_admin1获取管理员页面权限。案例 2金融交易金额篡改支付接口加密订单明文pay100toBob攻击者修改密文将金额100翻转为9999伪造大额转账。案例 3参数过滤绕过后端过滤明文不能包含admin但攻击者先用合法明文xdmin获取密文通过 IV 翻转将首字符x改为a解密后出现admin绕过黑名单。六、比特翻转攻击与填充预言机Padding Oracle区分表格维度Bit Flipping 比特翻转Padding Oracle 填充预言机攻击目的篡改已有明文内容完整爆破未知明文前置条件已知原始明文完全未知明文依赖特性异或链式可控修改PKCS7 填充错误信息泄露是否需要错误回显不需要只需观察业务逻辑变化必须区分填充正常 / 异常报错攻击成本极低单次计算即可高逐字节爆破七、安全防御方案生产环境必做1. 最优方案直接使用认证加密模式推荐放弃纯 AES-CBC使用自带机密性 完整性的标准模式AES-GCM主流 Web、接口首选AES-CCM、ChaCha20-Poly1305 这类模式会校验密文完整性任何字节篡改直接解密失败从根源杜绝比特翻转攻击。2. 坚持 CBC 模式时增加独立完整性校验加密流程密文 AES-CBC(明文) HMAC(IV密文)解密流程先校验 HMAC 签名校验失败直接丢弃密文校验通过后再执行 AES 解密。 推荐哈希SHA256/SHA3签名密钥与加密密钥分离。3. 开发规范红线禁止将 IV、密文直接暴露在 URL、Cookie、前端存储IV 必须密码学安全随机生成os.urandom不可写死、不可自增解密前统一校验长度、签名不直接信任用户可控密文禁止业务逻辑依赖未校验的解密明文。4. 误区避坑❌ 仅增加明文过滤攻击者翻转密文后绕过过滤❌ 仅加长密钥长度AES-256-CBC 依然存在翻转漏洞密钥长度不解决完整性问题❌ 自定义简单校验长度、关键词极易绕过必须密码学签名。八、总结比特翻转攻击的本质是CBC 解密的异或依赖关系修改前置密文 / IV精准控制当前明文攻击核心公式\(C_{i-1} C_{i-1} \oplus P_{origin} \oplus P_{target}\)无需破解 AES 密钥漏洞根源CBC 只保证加密不可读无内置防篡改机制生产环境唯一根治方案使用 AES-GCM 等认证加密拒绝裸 CBC 上线。拓展阅读PentesterLab CBC Bit Flipping 靶场NIST SP 800-38D GCM 模式标准文档CTF CBC 填充预言机与字节翻转复合利用
