rustpad

👇🏃 Descarga

🔪🏛️ ¿Un qué ahora multihilo?

rustpad es un sucesor multihilo del clásico padbuster, escrito en Rust. ¡Abusa de una vulnerabilidad de Padding Oracle para descifrar cualquier texto cifrado o cifrar texto plano arbitrario sin conocer la clave de cifrado!

🦀💻 Características

• Descifrado de textos cifrados
• Cifrado de texto plano arbitrario
• Multihilo tanto a nivel de bloque como de byte
• ¡TUI moderna, en tiempo real e interactiva!
• Soporte sin TTY, para que puedas redirigir la salida a un archivo
• Soporta oráculos de servidor Web...
• ... y oráculos basados en Script. Para cuando necesitas ese control adicional.
• Calibración automatizada de la respuesta de relleno (in)correcta del oráculo web
• Barra de progreso y reintentos automatizados
• Autocompletado con tabulador
• Caché a nivel de bloque
• Detección inteligente de codificación de texto cifrado, compatible con: hex, base64, base64url
• Sin soporte para IV
• Escrito en Rust puramente seguro, asegurando que no encuentres fallos desagradables

🗒️🤔 Uso

Usar rustpad para atacar un oráculo de relleno es fácil. Solo requiere 4 piezas de información para comenzar:

• tipo de oráculo (web/script, ver más abajo)
• oráculo objetivo (--oracle)
• texto cifrado a descifrar (--decrypt)
• tamaño de bloque (--block-size)

Modo web

El modo web especifica que el oráculo se encuentra en la web. En otras palabras, el oráculo es un servidor web con una URL.

Para que un ataque de oráculo de relleno tenga éxito, un oráculo debe indicar si se proporcionó un texto cifrado con relleno incorrecto. rustpad analizará las respuestas del oráculo y se calibrará automáticamente al comportamiento del oráculo.

Modo script

El modo script fue creado para usuarios avanzados o jugadores de CTF 🏴‍☠️ a quienes se les dio un script para ejecutar. El oráculo objetivo es un script de shell local.

Los scripts te permiten ejecutar ataques contra oráculos locales o servicios más exóticos. O puedes usar el modo script para personalizar y extender las funciones de rustpad. Sin embargo, si te falta alguna función, no dudes en abrir un issue en GitHub!

Autocompletado de shell

rustpad puede generar scripts de autocompletado con tabulador para los shells más populares:

rustpad setup <shell>

Consulta la documentación de tu shell sobre qué hacer con el script generado.

🕥💤 Próximamente

• análisis de URL más inteligente
• calibración avanzada: el texto de respuesta debe contener "x", basado en tiempo
• detección automatizada del tamaño de bloque
• ¿codificación de token de URL de .NET?