TL;DR ottenere una collisione MD5 di queste due immagini è ora(*) banale e istantaneo.

Non giocare col fuoco, non fare affidamento su MD5.

(*) Collidere qualsiasi coppia di file è possibile da molti anni, ma richiede diverse ore ogni volta, senza scorciatoie. Questa pagina fornisce trucchi specifici per i formati di file e prefissi di collisione precalcolati per rendere la collisione istantanea. git clone. Esegui lo script. Fatto.

Collisioni di hash e sfruttamenti

Di Ange Albertini e Marc Stevens.

Introduzione
Stato
Attacchi
Sfruttamenti
- Strategia standard
  - JPG
    - scansioni personalizzate
  - PNG
    - incompatibilità

Altri esempi, con un prefisso identico: [1](https://github.com/decalage2/collisions/blob/master/examples/fastcoll1.bin) ⟷ [2](https://github.com/decalage2/collisions/blob/master/examples/fastcoll2.bin) **Variante**: esiste una [collisione MD5 a blocco singolo](https://marc-stevens.nl/research/md5-1block-collision/) ma richiede cinque settimane di calcolo. Ecco una [registrazione](https://github.com/decalage2/collisions/blob/master/examples/fastcoll.svg) di un calcolo FastColl senza alcun prefisso e [un'altra](https://github.com/decalage2/collisions/blob/master/examples/fastcoll-prefix.svg) con un prefisso. ### [UniColl](https://github.com/decalage2/collisions/blob/master/unicoll.md) (MD5) Documentata nel [2012](https://www.cwi.nl/system/files/PhD-Thesis-Marc-Stevens-Attacks-on-Hash-Functions-and-Applications.pdf#page=199), implementata nel [2017](https://github.com/cr-marcstevens/hashclash/blob/95c2619a8078990056beb7aaa59104021714ee3c/scripts/poc_no.sh) [UniColl](https://github.com/cr-marcstevens/hashclash#create-you-own-identical-prefix-collision) ti permette di controllare alcuni byte nei blocchi di collisione, prima e dopo la prima differenza, il che la rende una collisione a prefisso identico con alcune differenze controllabili, quasi come una collisione a prefisso scelto. Questo è molto comodo e, ancora meglio, la differenza può essere molto prevedibile: nel caso di `m2+= 2^8` (noto anche come `N=1` / `m2 9` nello script [poc_no.sh](https://github.com/cr-marcstevens/hashclash/blob/master/scripts/poc_no.sh#L30) di HashClash), la differenza è +1 sul nono byte, il che la rende molto sfruttabile, tanto che puoi persino ragionare sulla collisione a mente: il nono carattere di quella frase verrà sostituito con il successivo: `0` sostituito da `1`, `a` sostituito da `b`.. - tempo: alcuni minuti (dipende dalla quantità di byte che vuoi controllare ) - spazio: due blocchi - differenze: ``` .. .. .. .. DD .. .. .. .. .. .. .. .. +1 .. .. .. ..

Esempi: [PoC||GTFO 0x18](https://github.com/angea/pocorgtfo#0x18) usa i prefissi SHA1 calcolati, riutilizzando l'immagine direttamente dal sorgente PDFLaTeX (vedere [articolo 18:10](https://archive.org/stream/pocorgtfo18#page/n62/mode/1up)), ma controlla anche il valore dei prefissi tramite JavaScript nella pagina HTML (il file è poliglotta, ZIP HTML e PDF). ## Collisioni a prefisso scelto Consentono di far collidere qualsiasi contenuto. | 𝓐 | ≠ | 𝔅 | | :----: |:-:| :----: | | Collisione *A* | ≠ | Collisione *B* | 1. prendere due prefissi arbitrari 2. allungare il più corto finché non è lungo quanto il più lungo. entrambi vengono riempiti fino al blocco successivo - meno 12 byte - questi 12 byte di dati casuali verranno aggiunti su entrambi i lati per randomizzare la ricerca del compleanno 3. X blocchi di quasi-collisione verranno calcolati e aggiunti. Quanti meno blocchi, tanto più lunga è la computazione. Es.: [400 kHours per un blocco](https://www.win.tue.nl/hashclash/SingleBlock/). 72 core-ore per nove blocchi con [HashClash](https://github.com/cr-marcstevens/hashclash). Le collisioni a prefisso scelto sono potentissime, ma possono richiedere molto tempo anche solo per una coppia di file. ### [HashClash](https://github.com/cr-marcstevens/hashclash) (MD5) Versione finale nel [2009](https://www.win.tue.nl/hashclash/ChosenPrefixCollisions/). Esempi: facciamo collidere `yes` e `no`. Ci sono volute tre ore su 24 core.``` 'yes' prefix: 000: 79 65 73 0A-3D 62 84 11-01 75 D3 4D-EB 80 93 DE yes◙=bä◄☺u╙MδÇô▐ - Prefix, padding 010: 31 C1 D9 30-45 FB BE 1E-71 F0 0A 63-75 A8 30 AA 1┴┘0E√╛▲q≡◙cu¿0¬ 020: 98 17 CA E3-A2 6B 8E 3D-44 A9 8F F2-0E 67 96 48 ÿ↨╩πókÄ=D⌐Å≥♫gûH 030: 97 25 A6 FB-00 00 00 00-49 08 09 33-F0 62 C4 E8 ù%ª√ I◘○3≡b─Φ 040: D5 F1 54 CD-CA A1 42 90-7F 9D 3D 9A-67 C4 1B 0F ╒±T═╩íBÉ⌂¥=Üg─←☼ - Collision blocks start 050: 04 9F 19 E8-92 C3 AA 19-43 31 1A DB-DA 96 01 54 ♦ƒ↓ΦÆ├¬↓C1→█┌û☺T 060: 85 B5 9A 88-D8 A5 0E FB-CD 66 9A DA-4F 20 8A AA à╡Üê╪Ñ♫√═fÜ┌O è¬ 070: BA E3 9C F0-78 31 8F D1-14 5F 3E B9-0F 9F 3E 19 ║π£≡x1Å╤¶_>╣☼ƒ>↓ 080: 09 9C BB A9-45 89 BA A8-03 E6 C0 31-A0 54 D6 26 ○£╗⌐Eë║¿♥µ└1áT╓& 090: 3F 80 4C 06-0F C7 D9 19-09 D3 DA 14-FD CB 39 84 ?ÇL♠☼╟┘↓○╙┌¶²╦9ä 0A0: 1F 0D 77 5F-55 AA 7A 07-4C 24 8B 13-0A 54 A2 BC ▼♪w_U¬z•L$ï‼◙Tó╝ 0B0: C5 12 7D 4F-E0 5E F2 23-C5 07 61 E4-80 91 B2 13 ┼↕}Oα^≥#┼•aΣÇæ▓‼ 0C0: E7 79 07 2A-CF 1B 66 39-8C F0 8E 7E-75 25 22 1D τy•*╧←f9î≡Ä~u%"↔ 0D0: A7 3B 49 4A-32 A4 3A 07-61 26 64 EA-6B 83 A2 8D º;IJ2ñ:•a&dΩkâóì 0E0: BE A3 FF BE-4E 71 AE 18-E2 D0 86 4F-20 00 30 26 ╛ú ╛Nq«↑Γ╨åO 0& 0F0: 0A 71 DE 1F-40 B4 F4 8F-9C 50 5C 78-DD CD 72 89 ◙q▐▼@┤⌠Å£P\x▌═rë 100: BA D1 BF F9-96 80 E3 06-96 F3 B9 7C-77 2D EB 25 ║╤┐∙ûÇπ♠û≤╣|w-δ% 110: 1E 56 70 D7-14 1F 55 4D-EC 11 58 59-92 45 E1 33 ▲Vp╫¶▼UM∞◄XYÆEß3 120: 3E 0E A1 6E-FF D9 90 AD-F6 A0 AD 0E-C6 D6 88 12 >♫ín ┘É¡÷á¡♫╞╓ê↕ 130: B8 74 F2 9E-DD 53 F7 88-19 73 85 39-AA 9B E0 8D ╕t≥₧▌S≈ê↓sà9¬¢αì \ 140: 82 BF 9C 5E-58 42 1E 3B-94 CF 5B 54-73 5F A8 4A é┐£^XB▲;ö╧[Ts_¿J 150: FD 5B 64 CF-59 D1 96 74-14 B3 0C AF-11 1C F9 47 ²[d╧Y╤ût¶│♀»◄∟∙G ................ 160: C5 7A 2C F7-D5 24 F5 EB-BE 54 3E 12-B0 24 67 3F ┼z,≈╒$⌡δ╛T>↕░$g? ................ 170: 01 DD 95 76-8D 0D 58 FB-50 23 70 3A-BD ED BE AC ☺▌òvì♪X√P#p:╜φ╛¼ ...............X ................ 180: B8 32 DB AE-E8 DC 3A 83-7A C8 D5 0F-08 90 1D 99 ╕2█«Φ▄:âz╚╒☼◘É↔Ö 190: 2D 7D 17 34-4E A8 21 98-61 1A 65 DA-FC 9B A4 BA -}↨4N¿!ÿa→e┌ⁿ¢ñ║ ................ 1A0: E1 42 2B 86-0C 94 2A F6-D6 A4 81 B5-2B 0B E9 37 ßB+å♀ö*÷╓ñü╡+♂Θ7 ................ 1B0: 44 D2 E4 23-14 7C 16 B8-84 90 8B E0-A1 A7 BD 27 D╥Σ#¶|▬╕äÉïαíº╜' ..............X. ................ 1C0: C7 7E E6 17-1A 93 C5 EE-59 70 91 26-4E 9D C7 7C ╟~µ↨→ô┼εYpæ&N¥╟| 1D0: 1D 3D AB F1-B4 F4 F1 D9-86 48 75 77-6E FE 98 84 ↔=½±┤⌠±┘åHuwn■ÿä ................ 1E0: EF 3C 1C C7-16 5A 1F 83-60 EC 5C FE-CA 17 0C 74 ∩<∟╟▬Z▼â`∞\■╩↨♀t ................ 1F0: EB 8E 9D F6-90 A3 CD 08-65 D5 5A 4C-2E C6 BE 54 δÄ¥÷Éú═◘e╒ZL.╞╛T ...............X ................ 'no' prefix: ................ 000: 6E 6F 0A E5-5F D0 83 01-9B 4D 55 06-61 AB 88 11 no◙σ_╨â☺¢MU♠a½ê◄ ................ 010: 8A FA 4D 34-B3 75 59 46-56 97 EF 6C-4A 07 90 CC è·M4│uYFVù∩lJ•É╠ ............X... 020: FE 19 D7 CF-6F 92 03 9C-91 AA A5 DA-56 92 C1 04 ■↓╫╧oÆ♥£æ¬Ñ┌VÆ┴♦ ................ 030: E6 4C 08 A3-00 00 00 00-8D B6 4E 47-FF AF 7A 3C µL◘ú ì╢NG »z< ................ 040: D5 F1 54 CD-CA A1 42 90-7F 9D 3D 9A-67 C4 1B 0F ╒±T═╩íBÉ⌂¥=Üg─←☼ ................ 050: 04 9F 19 E8-92 C3 AA 19-43 31 1A DB-DA 96 01 54 ♦ƒ↓ΦÆ├¬↓C1→█┌û☺T ............X... 060: 85 B5 9A 88-D8 A5 0E FB-CD 66 9A DA-4F 20 8A A9 à╡Üê╪Ñ♫√═fÜ┌O è⌐ ................ 070: BA E3 9C F0-78 31 8F D1-14 5F 3E B9-0F 9F 3E 19 ║π£≡x1Å╤¶_>╣☼ƒ>↓ ................ 080: 09 9C BB A9-45 89 BA A8-03 E6 C0 31-A0 54 D6 26 ○£╗⌐Eë║¿♥µ└1áT╓& ................ 090: 3F 80 4C 06-0F C7 D9 19-09 D3 DA 14-FD CB 39 84 ?ÇL♠☼╟┘↓○╙┌¶²╦9ä .............X.. 0A0: 1F 0D 77 5F-55 AA 7A 07-4C 24 8B 13-0A 54 B2 BC ▼♪w_U¬z•L$ï‼◙T▓╝ ................ 0B0: C5 12 7D 4F-E0 5E F2 23-C5 07 61 E4-80 91 B2 13 ┼↕}Oα^≥#┼•aΣÇæ▓‼ ................ 0C0: E7 79 07 2A-CF 1B 66 39-8C F0 8E 7E-75 25 22 1D τy•*╧←f9î≡Ä~u%"↔ ................ 0D0: A7 3B 49 4A-32 A4 3A 07-61 26 64 EA-6B 83 A2 8D º;IJ2ñ:•a&dΩkâóì ...............X 0E0: BE A3 FF BE-4E 71 AE 18-E2 D0 86 4F-20 00 30 22 ╛ú ╛Nq«↑Γ╨åO 0" ................ 0F0: 0A 71 DE 1F-40 B4 F4 8F-9C 50 5C 78-DD CD 72 89 ◙q▐▼@┤⌠Å£P\x▌═rë / 100: BA D1 BF F9-96 80 E3 06-96 F3 B9 7C-77 2D EB 25 ║╤┐∙ûÇπ♠û≤╣|w-δ% 110: 1E 56 70 D7-14 1F 55 4D-EC 11 58 59-92 45 E1 33 ▲Vp╫¶▼UM∞◄XYÆEß3 120: 3E 0E A1 6E-FF D9 90 AD-F6 A0 AD 0E-CA D6 88 12 >♫ín ┘É¡÷á¡♫╩╓ê↕ 130: B8 74 F2 9E-DD 53 F7 88-19 73 85 39-AA 9B E0 8D ╕t≥₧▌S≈ê↓sà9¬¢αì 140: 82 BF 9C 5E-58 42 1E 3B-94 CF 5B 54-73 5F A8 4A é┐£^XB▲;ö╧[Ts_¿J 150: FD 5B 64 CF-59 D1 96 74-14 B3 0C AF-11 1C F9 47 ²[d╧Y╤ût¶│♀»◄∟∙G 160: C5 7A 2C F7-D5 24 F5 EB-BE 54 3E 12-70 24 67 3F ┼z,≈╒$⌡δ╛T>↕p$g? 170: 01 DD 95 76-8D 0D 58 FB-50 23 70 3A-BD ED BE AC ☺▌òvì♪X√P#p:╜φ╛¼ 180: B8 32 DB AE-E8 DC 3A 83-7A C8 D5 0F-08 90 1D 99 ╕2█«Φ▄:âz╚╒☼◘É↔Ö 190: 2D 7D 17 34-4E A8 21 98-61 1A 65 DA-FC 9B A4 BA -}↨4N¿!ÿa→e┌ⁿ¢ñ║ 1A0: E1 42 2B 86-0C 94 2A F6-D6 A4 81 B5-2B 2B E9 37 ßB+å♀ö*÷╓ñü╡++Θ7 1B0: 44 D2 E4 23-14 7C 16 B8-84 90 8B E0-A1 A7 BD 27 D╥Σ#¶|▬╕äÉïαíº╜' 1C0: C7 7E E6 17-1A 93 C5 EE-59 70 91 26-4E 9D C7 7C ╟~µ↨→ô┼εYpæ&N¥╟| 1D0: 1D 3D AB F1-B4 F4 F1 D9-86 48 75 77-6E FE 98 84 ↔=½±┤⌠±┘åHuwn■ÿä 1E0: EF 3C 1C C7-16 5A 1F 83-60 EC 5C FE-CA 17 0C 54 ∩<∟╟▬Z▼â`∞\■╩↨♀T 1F0: EB 8E 9D F6-90 A3 CD 08-65 D5 5A 4C-2E C6 BE 54 δÄ¥÷Éú═◘e╒ZL.╞╛T

## Riepilogo degli attacchi Hash | Nome | Data | Durata | Tipo di prefisso | Controllo vicino alla diff ---- | --------- | ---- | -------- | ----------- | ----------------- MD5 | FastColl | 2009 | 2s | Identico | nessuno | UniColl | 2012 | 7-40min | Identico | 4-10 byte | HashClash | 2009 | 72h | Scelto | n/a | | | | | SHA1 | Shattered | 2013 | 6500yr | Identico | prefisso e suffisso | Shambles | 2020 | ? | Scelto | n/a # Sfruttamenti Le collisioni a prefisso identico sono generalmente considerate (molto) limitate, ma il prefisso scelto richiede tempo. Un altro approccio consiste nel creare prefissi riutilizzabili tramite un attacco a prefisso identico come UniColl - oppure a prefisso scelto per superare alcune limitazioni - ma riutilizzando quella coppia di prefissi in combinazione con due payload come in un classico attacco a prefisso identico. Una volta calcolata la coppia di prefissi, far collidere due contenuti diventa immediato: è solo questione di manipolare i dati del file (secondo i formati di file specifici) affinché si adattino alle specifiche dei formati e ai requisiti del prefisso precalcolato. ## Strategia standard Collisioni classiche di due file validi con lo stesso tipo di file. ### JPG Limitazioni teoriche e soluzioni alternative: - il segmento *Application* dovrebbe in teoria stare subito dopo il marker *Start of Image*. In pratica, non è necessario, quindi la nostra collisione può essere generica: l'unica limitazione è la dimensione dell'immagine più piccola. - la lunghezza di un commento è memorizzata su due byte, quindi la quantità che può contenere è limitata a 65536 byte (circa la dimensione di una foto 400x400) - invece di saltare oltre un intero file JPG, si può dividere il file nei suoi segmenti e aggiungere trampolini di salto tra i segmenti *commenti su ogni segmento dell'immagine* *come funzionano i trampolini dei commenti* - mentre la maggior parte della struttura di un JPG è composta da segmenti tutti limitati a 65536 byte di dimensione, i dati compressi veri e propri sono memorizzati nel *Entropy Coded Segment* che non rispetta queste limitazioni: la sua dimensione non è nota in anticipo e cresce oltre quel limite. Cresce con la dimensione dell'immagine, costituendo gran parte della dimensione del file in un'immagine baseline (non progressiva). Per far rientrare l'intera immagine in blocchi da 64kb, il modo semplice è provare prima a salvare l'immagine come progressiva (cosa che qualsiasi software può fare, e che divide l'ECS tipicamente in fino a sei scansioni). Il modo più avanzato è usare *JPEGTran* con il suo parametro da riga di comando 'wizard' `--scans` e definire scansioni personalizzate. Non ci sono altre restrizioni oltre ai segmenti delle scansioni, quindi una collisione MD5 di due JPG arbitrari è *istantanea* e non richiede una collisione a prefisso scelto, ma solo UniColl. Con lo [script](https://github.com/decalage2/collisions/blob/master/scripts/jpg.py):``` 21:07:35.65>jpg.py Ange.jpg Marc.jpg 21:07:35.75>

Esempi: [poeMD5 A](https://github.com/decalage2/collisions/blob/master/examples/poeMD5_A.pdf) ⟷ [poeMD5 B](https://github.com/decalage2/collisions/blob/master/examples/poeMD5_B.pdf) *Una vera creazione artistica crittografica :)* (Nota: ho combinato un pasticcio con la compatibilità Adobe, ma è colpa mia, non di UniColl) **Struttura del documento in collisione** Che tu usi UniColl come commento inline o come prefisso scelto in un oggetto di flusso fittizio, la strategia è simile: rimescolare i numeri degli oggetti, poi far sì che l'oggetto Root punti a oggetti diversi, quindi, a differenza di Shattered, questo significa una collisione istantanea di qualsiasi coppia arbitraria di PDF, a livello di documento. Un trucco utile è che l'output di [`mutool clean`](https://mupdf.com/docs/manual-mutool-clean.html) è prevedibilmente affidabile, quindi può essere usato per normalizzare PDF come input e sistemare il PDF unito mantenendo le parti importanti del file non modificate. MuTool non scarta chiavi/valori fittizi - a meno che non glielo si chieda - e li mantiene nello stesso ordine, quindi usare voci di dizionario finte come `/MD5_is /REALLY_dead_now__` è perfetto per allineare le cose in modo prevedibile senza bisogno di un altro tipo di commenti. Tuttavia non mantiene i commenti nei dizionari (quindi niente trucco del commento inline) Un modo semplice per eseguire l'operazione di rimescolamento degli oggetti senza problemi è semplicemente unire entrambi i file PDF tramite `mutool merge` e poi dividere l'oggetto `/Pages` in due. Per fare spazio a questo oggetto, basta unire un PDF fittizio davanti ai due documenti. Facoltativamente, crea un riferimento fittizio all'array pendente per impedire che la garbage collection elimini il secondo insieme di pagine. **Esempio**: con questo [script](https://github.com/decalage2/collisions/blob/master/scripts/pdf.py), ci vogliono [meno di un secondo](https://github.com/decalage2/collisions/blob/master/examples/pdf.log) per far collidere i due articoli PDF pubblici come Spectre e Meltdown: Esempi: [spectre.pdf](https://github.com/decalage2/collisions/blob/master/examples/collision1.pdf) ⟷ [meltdown.pdf](https://github.com/decalage2/collisions/blob/master/examples/collision2.pdf) Possibile estensione: concatenare blocchi UniColl per mantenere anche coppie dei vari [oggetti non critici](https://www.adobe.com/content/dam/acom/en/devnet/pdf/pdfs/PDF32000_2008.pdf#page=81) che possono essere referenziati nell'oggetto Root - come `Outlines`, `Names`, `AcroForm` e Additional Actions (`AA`) - nei file sorgente originali. **in PDFLaTeX** Le tecniche precedenti funzionano con una semplice coppia di file PDF, ma è anche possibile farlo direttamente dai sorgenti TeX tramite [specifici operatori PDFTeX](http://texdoc.net/texmf-dist/doc/pdftex/manual/pdftex-a.pdf). Puoi definire oggetti direttamente - incluse chiavi e valori fittizi per gli allineamenti - e definire oggetti vuoti per riservare alcuni slot di oggetti includendo questo all'inizio stesso dei tuoi sorgenti TeX:``` latex % set PDF version low to prevent stream XREF \pdfminorversion=3 \begingroup % disable compression to keep alignments \pdfcompresslevel=0\relax \immediate \pdfobj{<< /Type /Catalog % cool alignment padding /MD5_is /REALLY_dead_now__ % the first reference number should be on offset 0x49, % so the '2' object number will be changed to '3' by UniColl /Pages 2 0 R % now padding so that the collision blocks (ends at 0xC0) are covered /0123456789ABCDEF0123456789ABCDEF0123456789ABCDEF % with an extra character to be replaced by a return char /0123456789ABCDEF0123456789ABCDEF0123456789ABCDEF0123456789ABCDEF0 >>} % the original catalog of the shifted doc \immediate\pdfobj{<</Type/Pages/Count 1/Kids[8 0 R]>>} % the original catalog of the host doc \immediate\pdfobj{<</Type/Pages/Count 1/Kids[33 0 R]>>} % now we need to reserve PDF Objects so that there is no overlap \newcount\objcount % the host size (+3 for spare object slots) - 1 % putting a higher margin will just work, and XREF can have huge gaps \objcount=25 \loop \message{\the\objcount} \advance \objcount -1 \immediate\pdfobj{<<>>} % just an empty object \ifnum \objcount>0 \repeat \endgroup

#### Collisioni [zInsider](https://github.com/decalage2/collisions/blob/master/scripts/zinsider.py) è uno script per generare istantaneamente collisioni MD5 di coppie di documenti arbitrari usando questi formati ZIP+XML: - Office Open XML: docx / pptx / xlsx - Open Container Format: epub - Open Packaging Conventions: - formato di produzione 3D: 3mf - XML Paper Specification: xps / oxps Per generare i tuoi prefissi di collisione, [ecco uno script](https://github.com/decalage2/collisions/blob/master/scripts/makezip.py) per generare una coppia di zip radice. Dopo aver calcolato le collisioni, usa [quest'altro script](https://github.com/decalage2/collisions/blob/master/scripts/extendzip.py) per combinare questa coppia di radici con un suffisso comune. Alcuni PoC di collisione: - Office Open XML: Excel ([1](https://github.com/decalage2/collisions/blob/master/examples/free/md5-1.xls) - [2](https://github.com/decalage2/collisions/blob/master/examples/free/md5-2.xls)), Powerpoint ([1](https://github.com/decalage2/collisions/blob/master/examples/free/md5-1.pptx) - [2](https://github.com/decalage2/collisions/blob/master/examples/free/md5-2.pptx)), Word ([1](https://github.com/decalage2/collisions/blob/master/examples/free/md5-1.docx) - [2](https://github.com/decalage2/collisions/blob/master/examples/free/md5-2.docx)). - Open Container Format: Epub ([1](https://github.com/decalage2/collisions/blob/master/examples/collision-1.epub) - [2](https://github.com/decalage2/collisions/blob/master/examples/collision-2.epub)). - Open Packaging Conventions: 3MF ([1](https://github.com/decalage2/collisions/blob/master/examples/collision-1.3mf) - [2](https://github.com/decalage2/collisions/blob/master/examples/collision-2.3mf)), XPS ([1](https://github.com/decalage2/collisions/blob/master/examples/collision-1.xps) - [2](https://github.com/decalage2/collisions/blob/master/examples/collision-2.xps)). Alcuni formati con più file basati su Zip non possono essere sfruttati genericamente: - Quake PK3: uno zip di file senza una radice specifica. - Open Document Format: il file `META-INF/manifest.xml` deve menzionare tutti gli altri file, quindi non può essere generico. - APK, JAR, XPI: anche il file `META-INF/MANIFEST.mf` deve menzionare tutti gli altri file, con i loro hash. Grazie a [Philippe Lagadec](https://twitter.com/decalage2) per il suo aiuto sui formati di file Office! ## Strategie insolite Le collisioni di solito riguardano due file validi dello stesso tipo. ### MultiColls: catena di collisioni multiple Nulla impedisce di concatenare più blocchi di collisione, e avere più di due contenuti con lo stesso valore di hash. Un esempio sono gli *hashquines* - che mostrano il proprio valore MD5. Il file [PoCGTFO 14](https://github.com/angea/pocorgtfo#0x14) contiene 609 collisioni FastColl, per farlo tramite due tipi di file nello stesso file. ### Validità Una strategia diversa sarebbe uccidere il tipo di file per bypassare la scansione come file corrotto. Basterà sovrascrivere la firma magica. Appendere entrambi i file (validi o non validi) con un formato che non deve trovarsi all'offset 0 (archivio, come ZIP/RAR/...) rivelerebbe un altro tipo di file. Questo consente collisioni poliglotte senza usare una collisione chosen-prefix: 1. usa UniColl per abilitare o disabilitare una firma magica, ad esempio un PNG: 2. appende un archivio ZIP Sebbene tecnicamente entrambi i file siano uno ZIP valido, poiché la maggior parte dei parser restituisce il primo tipo di file trovato e inizia a scansionare dall'offset 0, vedranno un tipo di file diverso. Esempi: ⟷ [non valido](https://github.com/decalage2/collisions/blob/master/examples/png-invalid.png) ### PolyColls: collisioni tra tipi di file diversi È anche possibile avere entrambi i lati di una collisione con tipi diversi per ridurre i sospetti: Scenario d'attacco: 1. invia `holiday.jpg` 2. fallo inserire nella whitelist 3. invia `evil.exe`, che ha lo stesso MD5. In questi casi, è richiesta una collisione chosen-prefix se entrambi i formati di file devono iniziare all'offset 0. Alcuni esempi di layout polycoll: ![collisione poliglotta pdf-jpg](https://assets.kitploit.com/production/public/readmes/47472/3dcd55e877a4ce9c933bf1478d0a71ede85e129b9e746414d754ffabceabe463.png) *Polycoll PDF/JPG* ![collisione poliglotta pe-png](https://assets.kitploit.com/production/public/readmes/47472/63df55a15e7ca33153f352f13ba273604df6b1ae3e1e8838b601fea39de801e0.png) *Polycoll PE/PNG* #### PE - JPG Poiché un header PE di solito è più piccolo di 0x500 byte, è perfetto per un commento JPG: 1. inizia con gli header DOS/JPG 2. il commento JPEG salta oltre l'header PE 3. inserisci l'immagine JPG completa 4. inserisci tutte le specifiche PE Ancora una volta, la collisione è [istantanea](https://github.com/decalage2/collisions/blob/master/scripts/jpgpe.py) Esempi: [fastcoll.exe](https://github.com/decalage2/collisions/blob/master/examples/jpg-pe.exe) ⟷ [Marc.jpg](https://github.com/decalage2/collisions/blob/master/examples/jpg-pe.jpg) #### PDF - PE Unire un PDF a un file fittizio con `mutool` è un buon modo generico per riordinare gli oggetti e poi rendere i primi due oggetti scartabili (pagina fittizia e contenuto), il che è perfetto per un oggetto `stream` contenitore di lunghezza sconosciuta come `1 0`, e la cui lunghezza è referenziata più avanti (dopo i blocchi di collisione) nel secondo oggetto. L'unico problema è che `mutool` incorporerà sempre la lunghezza - e rimuoverà il riferimento alla lunghezza, quindi deve essere reinserita nel PDF al posto del valore, ma la maggior parte dei riferimenti `2 0 R` sarà più piccola delle lunghezze hardcoded. Per fortuna questo può essere sistemato senza alterare alcun offset degli oggetti, quindi non c'è bisogno di correggere la XREF. Ecco uno [script](https://github.com/decalage2/collisions/blob/master/scripts/pdfpe.py) per, ad esempio, far collidere all'istante un visualizzatore PDF ([Sumatra](https://www.sumatrapdfreader.org/free-pdf-reader.html) è leggero e standalone) e un documento PDF: Esempi: [Poster.pdf](https://github.com/decalage2/collisions/blob/master/examples/pepdf.pdf) ⟷ [Sumatra.exe](https://github.com/decalage2/collisions/blob/master/examples/pepdf.exe) ![un visualizzatore PDF che mostra un PDF (che a sua volta mostra un PDF) con lo stesso MD5](https://assets.kitploit.com/production/public/readmes/47472/4356d710fc4b60297ee05999be64f596198e9d4a02c826666818eb8ae117310f.png) *un visualizzatore PDF che mostra un PDF (che a sua volta mostra un PDF) con lo stesso MD5* #### PDF - PNG Allo stesso modo, è possibile far collidere ad esempio file PDF e PNG arbitrari senza restrizioni su nessuno dei due lati. È istantaneo, riutilizzabile e generico. Esempi: [Hello.pdf](https://github.com/decalage2/collisions/blob/master/examples/png-pdf.pdf) ⟷ [1x1.png](https://github.com/decalage2/collisions/blob/master/examples/png-pdf.png) ### PileUps (multi-collisione) Le collisioni crittografiche non sono limitate a due file! Come dimostrato nell'esperimento [Nostradamus](https://www.win.tue.nl/hashclash/Nostradamus/) del 2008, concatenare collisioni rende possibile far collidere più di due file. Le prime collisioni possono essere identiche o chosen-prefix, le successive devono essere chosen-prefix. Puoi chiamarle multi-collisioni, io preferisco *pileups* - è più corto :) #### PE - PNG - MP4 - PDF Combinando tutte le conoscenze acquisite finora, ho usato 3 collisioni chosen-prefix per creare 4 prefissi diversi per diversi tipi di file: documento (PDF), video (MP4), eseguibile (PE) e immagine (PNG). ![diagramma di un pileup PE/PNG/MP4/PDF](https://assets.kitploit.com/production/public/readmes/47472/f7c45f284bad51f431a2993cf4797f679c85671c028cf1862f1c07604740360a.png) *diagramma di un pileup PE/PNG/MP4/PDF* Questo script è generico e istantaneo: ![diagramma di un pileup PE/PNG/MP4/PDF](https://assets.kitploit.com/production/public/readmes/47472/3ec7caeb459eab294c6b9876a8a82e136502c3d11c599804fd7925fc2d819276.png) Esempi: [commodore.pdf](https://github.com/decalage2/collisions/blob/master/examples/pileup.pdf) ⟷ [diagram.png](https://github.com/decalage2/collisions/blob/master/examples/pileup.png) ⟷ [kidmo.mp4](https://github.com/decalage2/collisions/blob/master/examples/pileup.mp4) ⟷ [sumatra18.exe](https://github.com/decalage2/collisions/blob/master/examples/pileup.exe) Poiché potresti distribuire un solo file ed è impossibile indovinare gli altri valori dei prefissi da esso, una soluzione è incorporare tutti i prefissi della collisione in codice JavaScript e inserirlo nei tuoi PoC, trasformando i tuoi file in [poliglotti HTML](https://github.com/decalage2/collisions/blob/master/examples/polyglot.html) per condividere facilmente i file in collisione correlati. Il [numero 19](https://github.com/angea/pocorgtfo#0x19) di 'PoC or GTFO' è un tale pileup **e** poliglotta, che combina un documento di 80 pagine generato con PDFLaTeX, un visualizzatore PDF per Windows, un diagramma PNG e un breve video MP4 'collision' di [KidMoGraph](https://www.kidmograph.com/) con un payload HTML per generare gli altri file dalla release PDF (e anche un archivio ZIP): Grazie a Rafał Hirsz per il suo costante aiuto su JavaScript. ## Casi d'uso Meglio eliminare del tutto MD5, perché ispezionare i file richiede troppo tempo ed è troppo rischioso! ### Devi colliderli tutti! Un altro uso delle collisioni istantanee, riutilizzabili e generiche sarebbe nascondere qualsiasi file di un dato tipo - diciamo PNG - dietro file fittizi (o lo stesso file ogni volta) - che in pratica significa semplicemente concatenarlo allo stesso prefisso dopo aver rimosso la firma - si potrebbe persino fare a livello di libreria! Da una prospettiva di parsing rigorosa, tutti i tuoi file mostreranno lo stesso contenuto, e le immagini maligne verrebbero rivelate come un file con lo stesso MD5 di quelli raccolti in precedenza. Prendiamo due file: ⟷ e collidiamoli con lo stesso PNG. Ora mostrano la stessa immagine fittizia, e sono assolutamente identici fino alla seconda immagine a livello di file! ⟷ Il loro payload malvagio è nascosto, rispettivamente, dietro un file con lo stesso MD5. ### File incriminanti Un altro caso d'uso delle collisioni è nascondere qualcosa di incriminante dentro qualcosa di innocente, ma desiderabile: se l'unico modo per raccogliere prove è confrontare hash deboli, allora non puoi negare di non avere l'altro file (che mostra contenuti incriminanti ma nasconde contenuti innocenti). I software in genere si concentrano su un parsing (rapido), non su un'analisi dettagliata dei file. *un'immagine che mostra anteprime diverse in schede diverse di EnCase Forensic* ## Fallimenti Non tutti i formati possono avere prefissi generici riutilizzabili: se una qualche forma di contenitore di dati non può essere inserita tra la firma magica e gli header standard che sono critici e specifici per ogni file, allora le collisioni generiche non sono possibili. Naturalmente, si potrebbero comunque trasformare i vecchi file in uno nuovo, e persino usare codice per diramarsi verso due payload diversi, ma è più una questione di porting di payload che di collisione della struttura dei file. ### ELF L'header ELF è richiesto all'offset 0 e contiene informazioni critiche come 32b/64b, endianness e ABI fin dall'inizio, quindi è impossibile avere un prefisso universale e poi blocchi di collisione prima di parametri critici specifici del file originale. ### Mach-O Mach-O non inizia nemmeno con la stessa magic per 32b (`feedface`) e 64b (`feedfacf`). Subito dopo, ci sono il numero e la dimensione dei comandi (come definizione dei segmenti, symtab, versione, ...). Come per ELF, le collisioni riutilizzabili non sono possibili. ### Java Class Subito dopo la magic iniziale si trovano le versioni (che possono essere problematiche), ma il conteggio del constant pool è piuttosto specifico per ogni file, quindi niente collisioni universali per tutti i file. Tuttavia, molti file condividono ancora una versione comune e possiamo applicare padding al constant pool più corto fino al conteggio più lungo. Per prima cosa, inserisci un *literal UTF8* per allineare le informazioni, poi dichiarane un altro con la lunghezza sfruttata da una UniColl (la lunghezza è memorizzata su 16 byte in big endian). Tuttavia questo richiederà una manipolazione del codice, poiché tutti gli indici del pool verranno spostati. Collisioni MD5 riutilizzabili e istantanee per Java Class dovrebbero essere possibili, ma richiedono analisi e modifica del codice. ### TAR **TL;DR** Nessuna collisione riutilizzabile per i file TAR, nessun'altra strategia se non chosen-prefix. I Tape Archive sono una sequenza di header e contenuti di file concatenati, tutti allineati a 512 byte. Non c'è una struttura centrale per l'intero file. Quindi non c'è alcun header globale o commento di alcun tipo da sfruttare. Un trucco potrebbe essere iniziare con un file fittizio di lunghezza variabile, ma la lunghezza è sempre allo stesso offset, il che non è compatibile con UniColl, il che significa che qui sono utili solo collisioni chosen-prefix. ## Riepilogo dello sfruttamento Formato | Generico? | FastColl | UniColl | Shattered | HashClash / Shambles -------- | -------- | :------: | :-----: | --------- | :-------: PDF | Y | | x | | x JPG | Y (1) | | x | x (2) | x GZ | Y | | x | | x PNG | Y/N (3) | | x | | x MP4 | Y (4) | | x | x (5) | x PE | Y | | | | x ZIP-based (6) | Y | | | | x | | | | | GIF | N | x | | | x ZIP | N | | x (7) | | x | | | | | ELF | N | | | | x TAR | N | | | | x Mach-O | N | | | | x Class | N | | | | x 1. JPG ha alcune limitazioni sui dati che possono essere migliorate in una certa misura manipolando la codifica degli scan. 2. PDF con JPG è l'[implementazione iniziale](http://shattered.io) dell'attacco Shattered, ma è solo un puro trucco JPG in un documento PDF. 3. PNG: Safari/Preview richiede che i PNG abbiano il chunk `IHDR` nella prima posizione, prima di qualsiasi blocco di collisione. Questo impedisce un prefisso generico, nel qual caso la collisione è limitata a dimensioni specifiche, spazio colore, BPP e interlacciamento. 4. I formati Atom/Box come MP4 possono funzionare con lo stesso prefisso per diversi sottoformati. Alcuni sottoformati come JPEG2000 o HEIF richiedono una rifinitura extra, ma la strategia di exploit è la stessa - semplicemente la collisione non è possibile tra sottoformati, ma solo con una coppia di prefissi per un sottoformato specifico. 5. Atom/Box è compatibile con Shattered quando si utilizzano lunghezze a 64 bit. 6. Alcuni formati basati su Zip possono essere sfruttati genericamente. 7. Per una migliore compatibilità, ZIP richiede due UniColl per un archivio completo, e queste collisioni dipendono dal contenuto di entrambi i file. ## File di test [Qui](https://github.com/decalage2/collisions/blob/master/examples/free/README.md) ci sono coppie di test in collisione libere (senza copyright, senza PII). # Riferimenti Articoli: - 2004 - [MD5 To Be Considered Harmful Someday](https://eprint.iacr.org/2004/357.pdf) - Dan Kaminsky - [Practical Attacks on Digital Signatures Using MD5 Message Digest](https://eprint.iacr.org/2004/356.pdf) - Ondredj Mikle - 2005: - [A Note on Practical Value of Single Hash Collisions for Special File Formats](https://github.com/decalage2/collisions/blob/master/papers/Illies_NIST_05.pdf) - Max Gebhardt, Georg Illies, Werner Schindler - 2014: - [Malicious Hashing: Eve’s Variant of SHA-1](https://malicioussha1.github.io/) - Ange Albertini, Jean-Philippe Aumasson, Maria Eichlseder, Florian Mendel, Martin Schläffer - 2017: - [The first collision for full SHA-1](http://shattered.io) - Marc Stevens, Elie Bursztein, Pierre Karpman, Ange Albertini, Yarik Markov - [Postscript that shows its own MD5](https://archive.org/stream/pocorgtfo14#page/n45/mode/1up) di Gregor "Greg" Kopf - [A PDF That Shows Its Own MD5](https://archive.org/stream/pocorgtfo14#page/n49/mode/1up) di Mako - [This GIF shows its own MD5!](https://archive.org/stream/pocorgtfo14#page/n52/mode/1up) di Kristoffer "spq" Janke - [This PDF is an NES ROM that prints its own MD5 hash!](https://archive.org/stream/pocorgtfo14#page/n55/mode/1up) di Evan Sultanik, Evan Teran - 2018: - [Easy SHA-1 Colliding PDFs with PDFLaTeX.](https://archive.org/stream/pocorgtfo18#page/n62/mode/1up) di Ange Albertini - 2020: - [SHA-1 is a Shambles](https://eprint.iacr.org/2020/014.pdf) di Gaëtan Leurent, Thomas Peyrin Presentazioni: - 2017 Exploiting Hash Collisions at Black Alps: - [slides](https://speakerdeck.com/ange/exploiting-hash-collisions) [](https://speakerdeck.com/ange/exploiting-hash-collisions) - [video](https://www.youtube.com/watch?v=Y-oJWEYKVLA) [![Video Youtube sullo sfruttamento delle collisioni di hash](https://assets.kitploit.com/production/public/readmes/47472/c995bb115228391b655125ee5806530149829d3a62b8754485071f5db9512e67.jpg)](https://www.youtube.com/watch?v=Y-oJWEYKVLA) - 2019 KILL MD5 at Pass the Salt: - [slides](https://speakerdeck.com/ange/kill-md5) [](https://speakerdeck.com/ange/kill-md5) - [video](https://passthesalt.ubicast.tv/videos/kill-md5-demystifying-hash-collisions/) [![Video Kill MD5](https://assets.kitploit.com/production/public/readmes/47472/4d7d0e2935f37e9ae363ad7bebe2abb3697978e7b3c1aa57851c54727b7ac49f.jpg)](https://passthesalt.ubicast.tv/videos/kill-md5-demystifying-hash-collisions/) Workshop (CollTris): - [slides](https://speakerdeck.com/ange/colltris) [](https://speakerdeck.com/ange/colltris) - [video](https://www.youtube.com/watch?v=BcwrMnGVyBI) [](https://www.youtube.com/watch?v=BcwrMnGVyBI) - [materiali](https://github.com/decalage2/collisions/blob/master/workshop/README.md) - sessioni - 2019/07/02 150p, Pass The Salt - 2019/07/24 199p, Google - 2019/08/19 208p, Google - 2019/10/23 222p, Hack.lu - 2019/11/07 225p, Black Alps - 2019/12/03 229p, Google Sfide CTF: - [Prudentialv2](https://ctftime.org/task/3453), dalla *Boston Key Party CTF 2017*. - [HREFIN](https://ctftime.org/task/6965), dal *Google CTF 2018*. - [Looking glass](https://ctftime.org/task/9271) dal *Dragon Sector Teaser CTF 2019*.  Una difficoltà comune per questi task CTF è non dare un vantaggio o una penalizzazione troppo grande in base alla potenza di calcolo a cui ogni giocatore ha accesso. # Crediti Tutto questo è stato possibile grazie a [Marc Stevens](https://marc-stevens.nl/research/), non solo per i suoi contributi crittografici, ma anche per il suo aiuto e i suoi suggerimenti costanti! Grazie anche a Philippe Teuwen per il suo ampio feedback sui formati di file in generale. # Conclusione **Uccidi MD5!** A meno che non verifichi attivamente la presenza di malformazioni o blocchi di collisione nei file, non usare MD5! Non è un hash crittografico, è una funzione giocattolo!

Prefisso	=	Prefisso
Collisione A	≠	Collisione B
Suffisso	=	Suffisso

Prefisso	=	Prefisso
Collisione A	≠	Collisione B
A	=	A
B	=	B

collisions

Più Popolari

Introduzione

Stato

Prefisso identico

FastColl (MD5)

Shambles (SHA-1)

scan personalizzati

incompatibilità

GIF

GZIP

Portable Executable

MP4 e altri

JPEG2000

PDF

JPG in PDF

ZIP

Formati basati su Zip