# 填充 Oracle 反模式 **严重性：** 高 ## 总结应用程序在解密过程中通过不同的错误消息（“无效填充”与“解密失败”）或时间差异来泄漏填充正确性。攻击者在不知道密钥的情况下操纵密文并观察响应以逐字节解密整个消息，从而破坏机密性。 ## 反模式反模式是使用 CBC 模式并根据解密错误类型返回不同的响应。 ### 错误代码示例 # 漏洞：解密函数返回不同的错误消息。 from cryptography.hazmat.primitives.ciphers 导入密码、算法、模式从 cryptography.hazmat.primitives 导入填充来自烧瓶导入请求 KEY = b'十六字节密钥' # 应随机生成并安全管理 @app.route("/解密") def解密数据（）： crypto_data = request.args.get('data').decode('hex') iv = 加密数据[:16] 密文 = 加密数据[16:] 密码 = 密码(算法.AES(KEY), 模式.CBC(iv)) 解密器 = cipher.decryptor() 尝试：解密的填充=解密器.更新（密文）+解密器.最终化（） # 检查填充 unpadder = padding.PKCS7(128).unpadder() unpadded_data = unpadder.update(decrypted_padded) + unpadder.finalize() return "解密成功！", 200 除了 ValueError 为 e： # ORACLE：不同的错误响应会泄漏信息。 # 错误的填充会引发 ValueError 并显示“无效填充”。 # 其他损坏会导致不同的错误。如果 str(e).lower() 中的“填充”：返回“错误：无效的填充。”，400 其他： return "错误：解密失败。", 500 # 攻击者发送修改后的密文，观察到 400 与 500 错误， # 推导出明文信息。 ### 好的代码示例 # 安全：使用关联数据验证加密 (AEAD) 模式，例如 GCM。从 cryptography.hazmat.primitives.ciphers.aead 导入 AESGCM 来自烧瓶导入请求 KEY = AESGCM.generate_key(bit_length=128) # 生成安全密钥 def encrypt_gcm(数据): aesgcm = AESGCM(密钥) nonce = os.urandom(12) # GCM 使用 nonce 密文= aesgcm.加密（随机数，数据，无）返回随机数+密文 @app.route("/解密/安全") def解密_数据_安全（）： crypto_data = request.args.get('data').decode('hex') 随机数 = 加密数据[:12] ciphertext_with_tag = 加密数据[12:] aesgcm = AESGCM(密钥) 尝试： # AEAD模式自动验证完整性（认证标签）。 # 在填充步骤之前，篡改失败并出现单个通用异常。 #（AEAD 模式下无填充。）解密数据 = aesgcm.decrypt(nonce, ciphertext_with_tag, None) return "解密成功！", 200 除了无效标签： # 任何失败（篡改、损坏）→ 单一一般错误。 # 没有对攻击者有用的信息。 return "错误：解密失败或数据已损坏。", 400 # 如果使用 CBC：使用“Encrypt-then-MAC”方案。 # 计算密文的MAC（HMAC-SHA256），解密前验证。 # 无效的 MAC → 拒绝而不解密。 ## 检测 * **查看解密代码：** 查找使用 CBC 模式解密数据的任何代码。 * **检查错误处理：** 检查解密逻辑周围的“try... except”块。代码是否捕获不同的异常（例如“PaddingError”、“CryptoError”）并为每个异常返回不同的 HTTP 响应、状态代码或错误消息？ * **寻找时序差异：** 在某些罕见的情况下，预言机可以是时序侧通道，其中有效的填充检查比无效的填充检查花费的时间稍长。通过代码审查更难检测到这一点。 * **执行主动测试：** 使用“padbuster”等工具主动测试端点是否有 padding oracle 漏洞。 ## 预防 * **使用 AEAD 密码模式：** 最佳解决方案。 AES-GCM 或 ChaCha20-Poly1305 结合了加密和身份验证。不容易受到填充预言的影响。 * **使用带有 CBC 的 Encrypt-then-MAC：** 加密数据，计算密文 + IV 的 MAC (HMAC-SHA256)。解密前验证 MAC。 MAC无效→立即拒绝而不解密。 * **以相同的方式处理所有错误：** 对于不良填充、损坏的块或无效的 MAC，相同的通用错误消息和状态代码。 ## 相关安全模式和反模式 * [弱加密反模式]()：选择没有 MAC 的 CBC 等易受攻击的模式是常见的弱加密模式。 * [定时攻击反模式]()：一种相关的旁道攻击，通过操作所需的时间来泄露信息。 * [详细错误消息反模式]()：padding oracle 是一种特定类型的详细错误消息漏洞。 ## 参考文献 * [OWASP Top 10 A04:2025 - 加密故障]() * [OWASP GenAI LLM10:2025 - 无界消费]() * [CWE-649：依赖混淆]() * [CAPEC-463：填充 Oracle 加密攻击]() * [Padding Oracle 攻击（维基百科）]() * [BlueKrypt - 加密密钥长度建议]() * 来源：[sec-context]()

填充 Oracle 反模式

包含技能