關(guān)于Padding Oracle攻擊的研究.pdf

1、隨著互聯(lián)網(wǎng)技術(shù)的突飛猛進，據(jù)統(tǒng)計全球網(wǎng)民數(shù)量已經(jīng)突破20億。而且隨著社交網(wǎng)站、購物網(wǎng)等熱門網(wǎng)站的興起和不斷壯大，注冊用戶的數(shù)目已經(jīng)接近于天文數(shù)字。在網(wǎng)絡(luò)帶給人們便捷的同時，保護用戶的敏感信息已經(jīng)成為了舉足輕重的課題。通常采用密碼學(xué)方法加密和認證敏感信息，但是由于傳統(tǒng)的密碼學(xué)體制不夠完善，所以目前的加密和認證信息的技術(shù)并不是固若金湯，例如加密變長數(shù)據(jù)所使用的幾種填充方式會導(dǎo)致嚴重的安全漏洞、一些公認強度較高的消息摘要算法如SHA1算法在設(shè)

2、計上的缺陷同樣會造成的安全漏洞等。
　　本文所研究的PO(Padding Oracle)攻擊實質(zhì)上就是利用傳統(tǒng)密碼學(xué)在加密和認證過程中的漏洞所進行的一種新式web攻擊技術(shù)。在研究過程中通過闡述PO攻擊的原理，分析各個填充方法以及各個消息摘要算法的特點，然后提出了攻擊SHA1的有效方法，進而證明了目前推薦采用的Encrypt-then-MAC認證加密模式修補策略在某些場景下的脆弱性。
　　目前存在兩大著名的優(yōu)秀PO攻擊工具，但

3、是它們在性能上存在提升空間，對一些修補策略的攻擊功能上存在不足，它們最大的缺陷是不能攻擊帶認證的加密策略。然而本文針對JSF、ASP.net兩大開發(fā)框架的特點分別編寫了相應(yīng)的PO攻擊工具，通過實際中的攻擊將本文所編寫的工具與兩大著名工具進行對比，通過對比提出了改進的方法。本文的改進是針對目前被證明強度最高的用于完整性檢驗的HMAC，提出了采用HMAC密鑰本進行攻擊的方法。
　　本文所采用的攻擊工具在通常情況下能夠達到較好的攻擊效果