用MD5实现hash长度扩展攻击 By Assassin

今天心血来潮，看到了扩展攻击，猛然想到了之前看的扩展攻击的原理还没有弄懂，这里补充一下，hash长度扩展攻击到底是怎么实现的。

题目

首先从实验吧上面见到的经典的题目，下面给出源码

<?php 

$flag = "flag{flag is here}";
$secret = "aaaaabbbbbccccc"; // This secret is 15 characters long for security!

@$username = $_POST["username"];
@$password = $_POST["password"];
if (!empty($_COOKIE["getmein"])) {
    if (urldecode($username) === "admin" && urldecode($password) != "admin") {
        if ($_COOKIE["getmein"] === md5($secret . urldecode($username . $password))) {
            echo "Congratulations! You are a registered user.\n";
            die ("The flag is ". $flag);
        }
        else {
            die ("Your cookies don't match up! STOP HACKING THIS SITE.");
        }
    }
    else {
        die ("You are not an admin! LEAVE.");
    }
}

setcookie("sample-hash", md5($secret . urldecode("admin" . "admin")), time() + (60 * 60 * 24 * 7));

if (empty($_COOKIE["source"])) {
    setcookie("source", 0, time() + (60 * 60 * 24 * 7));
}
else {
    if ($_COOKIE["source"] != 0) {
        echo ""; // This source code is outputted here
    }
}
?>

然后观察代码我们首先发现一些规律：

1.首先$secret变量我们不知道，但是我们知道它的长度
2.从下面setcookie函数我们可以通过sample-hash这个变量拿到md5($secret+”admin”+”admin”)的md5值
3.我们登陆成功的条件，username==admin&&password！=admin 并且我们要cookie getmein的值等于md5($secret+username+password)

下面讲一下何为扩展攻击

MD5扩展攻击介绍

要说MD5的扩展攻击，首先要了解一定MD5加密算法的过程，其中我们不需要了解太多，我们需要知道如下几点

1.MD5加密过程中512比特（64字节）为一组，属于分组加密，而且在运算的过程中，将512比特分为32bit*16块，分块运算
2.我们关键利用的是MD5的填充，对加密的字符串进行填充(比特第一位为1其余比特为0)，使之(二进制)补到448模512同余，即长度为512的倍数减64，最后的64位在补充为原来字符串的长度，这样刚好补满512位的倍数，如果当前明文正好是512bit倍数则再加上一个512bit的一组。
3.MD5不管怎么加密，每一块加密得到的密文作为下一次加密的初始向量IV，这一点很关键！！！

有点绕，下面讲一个例子讲一下如何填充
比如计算字符串“admin”
十六进制0x61646d696e
这里与448模512不同余，补位后的数据如下

0x61646d696e8000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000002800000000000000

注意！下图中8是怎么来的！比特第一位补位1，其余为0，那么admin后面（二进制补位1000…000）

注意！下图中框框中是啥！是全部要加密明文的长度！这里长度不包含填充的长度！而且注意是比特数！而且我们需要注意一点

MD5中存储的都是小端方式！
MD5中存储的都是小端方式！
MD5中存储的都是小端方式！
重要的事情说三遍，举个例子：假如我们这一块值为0x12345678
那么在MD5运算时候存储的顺序是 0x78563412
这也是之所以后8字节为长度，而第1字节先有数据的原因

admin长度为40比特，所以长度为0x28=40bits

在讲如何利用填充扩展攻击？首先直观看一下上面讲的第三点

假如我们知道了，md5(“secret”)我们不需要知道secret是什么，只要知道长度，人为将secret填充完，在新加一块假设为add，之前得到的MD5值作为最后一块加密的初始向量IV，最后加密得到的结果和MD5(secret+add)结果是一样的！重点看下面的题目分析吧！

MD5扩展攻击实现

那么再分析从题目中