rustpad

👇🏃 Téléchargement

🔪🏛️ Un truc multi-thread ?

rustpad est un successeur multi-thread du classique padbuster, écrit en Rust. Il exploite une vulnérabilité d'oracle de padding pour déchiffrer n'importe quel texte chiffré ou chiffrer un texte clair arbitraire sans connaître la clé de chiffrement !

🦀💻 Fonctionnalités

• Déchiffrement de textes chiffrés
• Chiffrement de texte clair arbitraire
• Multi-threading au niveau du bloc et de l'octet
• TUI moderne, temps réel et interactive !
• Support sans TTY, pour pouvoir rediriger la sortie vers un fichier
• Supporte les oracles serveur Web...
• ... et les oracles basés sur des scripts.
• Calibration automatique de la réponse (correcte/incorrecte) du padding de l'oracle web
• Barre de progression et tentatives automatiques
• Auto-complétion par tabulation
• Mise en cache au niveau des blocs
• Détection intelligente de l'encodage du texte chiffré, supportant : hex, base64, base64url
• Pas de support d'IV
• Écrit en Rust purement sûr, pour éviter les crashs désagréables

🗒️🤔 Utilisation

Utiliser rustpad pour attaquer un oracle de padding est facile. Il nécessite seulement 4 informations pour démarrer :

• type d'oracle (web/script, voir ci-dessous)
• oracle cible (--oracle)
• texte chiffré à déchiffrer (--decrypt)
• taille de bloc (--block-size)

Mode Web

Le mode Web spécifie que l'oracle se trouve sur le web. En d'autres termes, l'oracle est un serveur web avec une URL.

Pour qu'une attaque par oracle de padding réussisse, l'oracle doit indiquer si un texte chiffré avec un padding incorrect a été fourni. rustpad analysera les réponses de l'oracle et se calibrera automatiquement au comportement de celui-ci.

Mode Script

Le mode Script a été conçu pour les utilisateurs avancés ou les joueurs de CTF 🏴‍☠️ à qui on a donné un script à exécuter. L'oracle cible est un script shell local.

Les scripts vous permettent de lancer des attaques contre des oracles locaux ou des services plus exotiques. Vous pouvez également utiliser le mode Script pour personnaliser et étendre les fonctionnalités de rustpad. Cependant, si une fonctionnalité vous manque, n'hésitez pas à ouvrir un ticket sur GitHub !

Auto-complétion du shell

rustpad peut générer des scripts d'auto-complétion par tabulation pour les shells les plus populaires :

rustpad setup <shell>

Consultez la documentation de votre shell pour savoir quoi faire du script généré.

🕥💤 À venir

• analyse d'URL plus intelligente
• calibration avancée : le texte de réponse doit contenir "x", basé sur le temps
• détection automatique de la taille de bloc
• encodage de jeton URL .NET ?