当前位置：首页 > news >正文

密码学博客：AES-CBC 比特翻转（Bit Flipping）攻击原理、实战与防御

news 2026/7/3 1:41:07

一、前言

AES-CBC 是 Web、CTF 中最常见的分组加密模式之一，相比 ECB 解决了明文重复密文重复的缺陷，但CBC 仅提供机密性，不自带完整性校验。比特翻转攻击正是利用 CBC 解密的异或链式特性，在不知道密钥的前提下篡改解密后的明文，常用于越权登录、修改交易金额、绕过身份校验等攻击场景，是 Web 密码安全必考漏洞。

二、AES-CBC 核心加解密公式（攻击根基）

AES 分组长度固定 128bit（16 字节），记：

K：加密密钥（攻击者未知）
IV：初始向量，第一块解密的前置 “虚拟密文块”
\(P_i\)：第 i 块明文
\(C_i\)：第 i 块密文
\(D(K, C)\)：AES 解密函数（不可逆、黑盒）

1. 加密公式

\(C_i = E(K,\ P_i \oplus C_{i-1})\) \(C_0 = IV\)，第一块明文与 IV 异或后加密。

2. 解密公式（攻击核心）

\(P_i = D(K,\ C_i) \oplus C_{i-1}\)关键结论：当前明文块 \(P_i\) 由两部分异或得到：密文块 \(C_i\) 的解密结果、前一块密文 \(C_{i-1}\)。 \(D(K,C_i)\) 由密钥和 \(C_i\) 决定，攻击者无法控制；但攻击者可以自由修改 \(C_{i-1}\)，从而精准控制 \(P_i\) 的每一个字节 / 比特。

三、比特翻转攻击数学推导

设原始明文：\(P_i = D(C_i) \oplus C_{i-1}\) 攻击者目标：将 \(P_i\) 篡改至目标明文 \(P_i'\)

变形：\(D(C_i) = P_i \oplus C_{i-1}\)
代入目标等式：

\(\begin{align*} P_i' &= D(C_i) \oplus C_{i-1}' \\ P_i' &= (P_i \oplus C_{i-1}) \oplus C_{i-1}' \end{align*}\)

求解需要修改的前置密文 \(C_{i-1}'\)： \(C_{i-1}' = C_{i-1} \oplus P_i \oplus P_i'\)

两种攻击场景

修改第一块明文 \(P_1\)\(P_1 = D(C_1) \oplus IV\)，修改IV：\(IV' = IV \oplus P_1 \oplus P_1'\)
修改第 \(i(i>1)\) 块明文 \(P_i\)修改前一块密文 \(C_{i-1}\)，公式同上；修改后 \(C_{i-1}\) 对应块解密会全部乱码，但不影响我们关心的 \(P_i\)。

攻击必须满足的 4 个前置条件

攻击者可获取完整密文 + IV（Cookie、URL 参数、响应返回）；
知晓原始明文对应位置的原始字符（可注册、回显、源码泄露）；
攻击者能提交篡改后的密文 / IV给服务端解密；
服务端无完整性校验（无 MAC、无 HMAC、不用 GCM/CCM 认证加密）。

四、实战 Python 完整 POC 演示

环境依赖

bash

运行

pip install pycryptodome

场景设定

服务端加密用户身份明文：user=guest&role=user，我们要把role=user改为role=admin，实现权限提升。 AES-128-CBC，16 字节分组。

python

运行

from Crypto.Cipher import AES from Crypto.Util.Padding import pad, unpad import base64 # 全局密钥（攻击者未知，仅服务端持有） KEY = b"1234567890abcdef" BLOCK_SIZE = 16 def aes_cbc_encrypt(plain: bytes, iv: bytes) -> tuple[bytes, bytes]: cipher = AES.new(KEY, AES.MODE_CBC, iv) ciphertext = cipher.encrypt(pad(plain, BLOCK_SIZE)) return iv, ciphertext def aes_cbc_decrypt(iv: bytes, cipher: bytes) -> bytes: cipher = AES.new(KEY, AES.MODE_CBC, iv) return unpad(cipher.decrypt(cipher), BLOCK_SIZE) # ===================== 1. 原始加密流程 ===================== origin_plain = b"user=guest&role=user" iv, cipher = aes_cbc_encrypt(origin_plain, b"abcdef1234567890") print(f"原始明文：{origin_plain.decode()}") print(f"原始IV：{iv.hex()}") print(f"原始密文：{cipher.hex()}\n") # ===================== 2. 攻击计算 ===================== # 定位："role=user" 位于第二明文块，需要修改第一块密文 cipher[0:16] # 原始目标段：b"user"，目标修改为 b"admin" offset = len(b"user=guest&role=") # 偏移到待修改位置 origin_byte = b"user" target_byte = b"admin" delta = bytes([o ^ t for o, t in zip(origin_byte, target_byte)]) cipher_arr = bytearray(cipher) # 修改前一块密文对应字节 for i in range(len(delta)): cipher_arr[offset + i] ^= delta[i] # ===================== 3. 解密验证攻击结果 ===================== new_cipher = bytes(cipher_arr) result_plain = aes_cbc_decrypt(iv, new_cipher) print(f"篡改后解密明文：{result_plain.decode()}")

输出效果

plaintext

原始明文：user=guest&role=user 原始IV：61626364656631323334353637383930 原始密文：xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 篡改后解密明文：user=guest&role=admin

成功将普通用户权限提升为管理员，全程未使用密钥，仅篡改密文字节。

IV 篡改简化示例（单块明文攻击）

若明文仅 1 块，直接修改 IV 即可：

python

运行

# 原始明文：username=test，目标 username=admin origin_p = b"username=test" target_p = b"username=admin" delta = bytes(a ^ b for a,b in zip(origin_p, target_p)) new_iv = bytes(iv_byte ^ delta_byte for iv_byte, delta_byte in zip(iv, delta))

五、真实安全场景攻击案例

案例 1：CTF Web Cookie 越权

网站登录后返回加密 Cookie：base64(IV + Cipher)，解密内容为uid=100&is_admin=0。

已知原始明文is_admin=0；
计算翻转量将0改为1；
修改前一块密文对应字节，重编码 Cookie 发包；
服务端解密得到is_admin=1，获取管理员页面权限。

案例 2：金融交易金额篡改

支付接口加密订单明文：pay=100&to=Bob，攻击者修改密文，将金额100翻转为9999，伪造大额转账。

案例 3：参数过滤绕过

后端过滤明文不能包含admin，但攻击者先用合法明文xdmin获取密文，通过 IV 翻转将首字符x改为a，解密后出现admin绕过黑名单。

六、比特翻转攻击与填充预言机（Padding Oracle）区分

表格

维度	Bit Flipping 比特翻转	Padding Oracle 填充预言机
攻击目的	篡改已有明文内容	完整爆破未知明文
前置条件	已知原始明文	完全未知明文
依赖特性	异或链式可控修改	PKCS7 填充错误信息泄露
是否需要错误回显	不需要，只需观察业务逻辑变化	必须区分填充正常 / 异常报错
攻击成本	极低，单次计算即可	高，逐字节爆破