简介
Length Extension Attack 是一种与某些特定类型的哈希函数（如 MD5，SHA-1 和 SHA-2）的特性有关的攻击。简单来说，这种攻击利用了一个事实，即知道 H(message) 和 message 的长度，我们可以轻松计算出 H(message || padding || extension) 而不需要知道 message 本身。其中 “||” 表示连接，“padding” 是根据哈希函数的规定添加的。
这是因为这些哈希函数使用了 Merkle-Damg?rd 结构，它将输入切片为多个块，并且每个块的哈希值依赖于前一个块的哈希值。这意味着一旦我们计算出了某个消息的哈希值，就有了一个状态，可以从那里开始并添加更多的块。
为方便描述漏洞场景，我们首先假设有这样一种服务端验证模式，即用户尝试登录时，服务端会根据用户的 ID、名字以及一个仅服务端知道的 30 位密钥，通过特定的哈希算法生成一个哈希值，并将其下发给客户端。随后，当客户端尝试访问某些特定接口，例如修改用户权限的接口时，服务端会根据前端 POST 的角色 ID、角色名字、角色权限以及同样的 30 位密钥，重新生成哈希进行验证。如果上传的哈希与服务端生成的哈希一致，则视为验证通过，并将新的角色权限写入数据库。
Voyager今日转出3580万美元的加密货币:金色财经报道，据推特加密KOL@Bit余烬监测数据显示，Voyager今日转出价值3580万美元的加密货币，分别将7000枚ETH（约合1094万美元）、622万枚MATIC（约合703万美元）转入Coinbase，将7000枚ETH（约合1094万美元）、250万枚FTM（约合101万美元）、200万枚IOTA（约合42万美元）、40万枚ONT（约合9万美元）转入Binance US，将3000亿枚SHIB（约合333万美元）、1164枚ETH转入加密货币做市商Wintermute，将10万枚DYDX转入Kraken（约合22万美元）。不过Voyager资产目前的转出还在继续。
此前报道，法官批准Binance.US收购Voyager Digital资产，但交易仍需清除监管障碍。[2023/3/8 12:48:35]
为便于理解，下面是根据描述写的一些简单的代码做为示例：
Ripple SBI亚洲区CEO：哈希算力正在从东方向西方转移:Ripple SBI亚洲区首席执行官Adam Traidman在接受采访时表示，哈希算力正在从东方向西方转移，并称他正在见证迁移的开始。Traidman表示：“我们看到富有的中国矿业公司表现出极大的兴趣，相比中国电费每千瓦时0.03-0.05美元，德克萨斯州的电费每千瓦时均价只有0.025美元，有时甚至更低。”另一方面，Traidman也指出，目前大多数大型挖矿硬件供应商90%以上的客户的出货量仍在中国。(Cointelegraph)[2020/5/31]
由于验证模式存在漏洞，攻击者可以在不知道 SecretKey 的情况下，通过重新构造交易请求，达到绕过权限验证的目的。越权攻击的核心思路在于利用长度扩展攻击的特性。攻击者首先需要获取到原始的哈希值，并通过简单的迭代算法计算出原始数据的长度。一旦得到这些信息，就可以将额外的越权参数添加到原始数据中，并利用相同的哈希算法生成恶意的哈希值。
分析 | BitMEX研究报告：BCH哈希值高波动性没有受到操纵:BitMEX昨日发布的一份研究报告表示，BCH哈希值异常高的波动性”引发了人们对某些特定地址的担忧，这些地址以发现的块数百分比为主导。研究结果表明，“这种波动性可能使网络在某些时期的支付可靠性略有下降，尽管这不是一个主要问题”。 报告称，虽然进行的其他测试很少可能涉及操纵，但“我们无法找到任何时间操纵或其他恶意挖矿策略的证据”。BitMEX最后的研究结论称BCH的哈希值波动可能需要一次硬分叉，这与已经计划在不久的将来升级的硬分叉不同。BitMEX建议BCH生态系统“合并挖矿，采用比特币的两周调整期，减少出块时间”。（AMBCrypto）[2019/11/1]
Length Extension Attack 发生的原因在于部分哈希函数的内部机制。这些函数在处理输入数据前，首先将数据分割成固定长度的块，然后在每个块的末尾进行填充以满足特定的要求。这种设计导致攻击者可以在知道原始消息哈希值和长度的情况下，通过填充和附加新数据，构造出新的有效哈希值。
以 SHA-256 为例，其工作在 512 比特的块上。对于长度不是 512 比特的倍数的数据，需要进行填充操作。其填充规则如下：
声音 | 双子座交易所联合创始人：比特币被“误解了”，尽管价格低迷但哈希率创下新高:据UToday报道，双子座交易所(Gemini Exchange)联合创始人Cameron Winklevoss在twitter上分享观点：比特币的价格实际上应该会上涨，而最近的暴跌只是显示了人们对这一资产的“误解”。他称：“今天比特币的价格没有飙升的事实，说明了这种资产被误解了”。虽然比特币触及了五个月以来的最低点，但值得关注的是长期来看可能更重要的指标，例如：比特币的哈希率最近达到了?109 EH / s的历史新高。[2019/10/24]
1. 在数据的末尾添加一个 “1” 比特；
2. 添加一定数量的 “0” 比特，使得数据的长度模 512 等于 448（详细内容见 ）；
3. 在最后面添加一个 64 位长的块，表示原始数据的长度。
简而言之，将一个 “1” 后面跟着 m 个 “0”，再加上一个 64 位或 128 位的整数，附加到消息的末尾，以生成长度为 512*n 的填充消息。附加的整数是原始消息的长度。然后，填充消息将被哈希函数处理为 n 个 512 位的块。
动态 | SBI CEO表达对BCH哈希战争的担忧:据Coinpost消息，近日，涉及加密货币挖矿业务的SBI代表北尾吉孝在股东说明会时，强烈表达了其对引发加密货币暴跌的BCH硬分叉问题及哈希战争的担忧。并表示因为该公司欲逐渐增加据点，最终以获得加密货币挖矿市场份额的三成，因此BCH哈希战争不容忽视。为了消除市场不稳定性，有必要建立健全的加密货币市场。[2018/12/3]
在这个示例中，我们将以上面图片提到的代码做为一个特定的场景，其中数据字符串为 data="user_id=1&user_name=aa"，密钥为 SecretKey="Length_extension_attack_secret"。服务端会解析上传的数据中的 data 字段，并通过分隔符 & 解析出所需的参数 user_id 和 user_name。如果存在 role 字段，服务端也会获取该字段的值。然后，服务端会将所有字段与 SecretKey 进行哈希运算，并与上传的验证哈希进行比较。如果哈希值一致，则认为参数符合规则，并直接使用。
首先，我们通过登录 loginHandler 接口获取根据 data 和 SecretKey 使用 SHA-256 生成的哈希值 hash="37d310d3465506486431fb2c2eb163f0f470479703f66dc9e5fdead8a3390c68"。
接下来，我们将探讨破解的难度。以我们的测试情况为例，根据长度扩展攻击的原理，只要知道 H(message) 和 message 的长度，我们就可以通过长度扩展攻击添加新的数据。原来的 message = SecretKey + data，现在我们手上已经有 H(message)，只需知道 message 的长度，就可以构造一个新的哈希值。由于 SecretKey 是一个 30 位的密钥，只需经过 30 次迭代，就可以得知真正的 message 的长度。因此，我们可以很容易地构造出一个新的哈希值。由于我们需要使用 admin 的权限，所以我们要将恶意的字段 "&role=admin" 拼接到原来的数据中。
我们可以利用长度扩展攻击的特性，在不知道 SecretKey 的情况下，添加新的数据并生成一个新的哈希值。这里使用一个已经实现此功能的库 来完成测试。再使用工具生成新的哈希值 。
由于 adminActionHandler 的接口验证是根据上传的 user_id，user_name 和 role 来验证 hash 的，我们这时候上传的数据是 user_id=1，user_name=aa\x80\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x70 以及 role=admin，如下图所示：
哈希值为 84ae4ae437eeabf3bd8a26294392770b86f64a81998194156ac003d58a21acd0。之后就可以调用 adminActionHandler 接口，服务端收到数据后，会把上传的哈希与 sha256(SecretKey + fakeData) 进行对比，通过验证之后将会执行一些敏感操作。这样，我们就成功地利用长度扩展攻击绕过了服务端验证，并实现了越权操作。
1. 文件完整性验证：如果文件的完整性是通过连接密钥和文件内容，然后对其进行哈希来验证的，那么攻击者可能会扩展文件并生成一个有效的哈希，从而绕过完整性检查；
2. Web 应用安全：在 Web 应用中，如果使用了易受长度扩展攻击的哈希函数来验证用户提交的数据，攻击者可能会利用这一点来提交恶意数据；
3. 数字签名：在某些数字签名方案中，如果签名是通过连接私钥和消息，然后对其进行哈希来生成的，那么攻击者可能会扩展消息并生成一个有效的签名；
4. 密码存储：虽然不常见，但如果密码是通过连接密钥（例如盐）和密码，然后对其进行哈希来存储的，那么攻击者可能会尝试使用长度扩展攻击来破解密码。
1. 选择不易受长度扩展攻击的哈希函数，例如 SHA-3；
2. 使用 HMAC：HMAC 需要一个密钥和一个消息作为输入，输出的结果既依赖于密钥，也依赖于消息，因此攻击者在不知道密钥的情况下无法进行长度扩展攻击；
3. 加强权限验证：在服务端增加额外的权限验证步骤，例如使用多因素认证。
以下是一些常用的 Hash 算法的特性：
预映像抵抗
对于长度扩展攻击，一种有效的防护措施是使用不受此类攻击影响的哈希函数，例如 SHA-3 和 BLAKE2。另外，还可以通过 HMAC（密钥散列消息认证码）结构来进行防护。这些措施可有效提高系统的安全性，确保数据完整性和应用程序的稳定性。
参考链接：
https://www.rfc-editor.org/rfc/rfc6234#page-8
https://github.com/skerkour/kerkour.com/tree/main/blog/2023/sha256_length_extension_attacks
慢雾科技
个人专栏
阅读更多
白话区块链
神译局
Gryphsis Academy
CertiK中文社区
新浪科技
元宇宙之心
金色早8点
Web3小律
MarsBit
ForesightNews
吴说区块链
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。