在 CTF 或授权测试中遇到对称加密弱点时…

对称加密存在 ECB/CBC 模式弱点、流密码密钥重用、LFSR/LCG 可预测或双重加密时，按可观察行为选择对应攻击。

适用场景

解决思路

1. Padding Oracle 攻击（CBC）：利用服务器是否泄露 padding 有效性，通过操纵前一个密文块逐字节解密任意块。CBC 解密公式为 P_i = D_K(C_i) ⊕ C_{i-1}。
2. Padding Oracle 攻击步骤：对目标块 C_i，从字节位置 b=15 递减到 0，padding_value = 16 - b；对 guess 从 0x00 到 0xFF，构造修改后的 C'_{i-1}：字节 0..b-1 保持原始 C_{i-1}，字节 b 设为 guess，字节 b+1..15 设为 intermediate[j] ⊕ padding_value 以产生正确 padding；发送 (C'_{i-1} || C_i) 给 oracle；若 oracle 返回有效 padding，则 intermediate_byte[b] = guess ⊕ padding_value，plaintext_byte[b] = intermediate_byte[b] ⊕ original_C_{i-1}[b]。
3. Padding Oracle 的 Python 实现：定义 padding_oracle_attack(ciphertext, block_size, oracle)，将密文按块分割，对每个块从最后一个字节向前遍历，对每个 guess 构造测试密文并调用 oracle；当 byte_pos == block_size - 1 时，需额外检查避免 0x02 0x02 的误报：修改前一个字节后再调用 oracle，若仍有效则跳过。
4. 使用 PadBuster 自动化 padding oracle：padbuster http://target/decrypt?ct= CIPHERTEXT_HEX 16 -encoding 0；若要伪造明文，使用 padbuster http://target/decrypt?ct= CIPHERTEXT_HEX 16 -encoding 0 -plaintext "admin=true"。
5. CBC 位翻转：翻转 C_{i-1} 中位置 j 的位会翻转 P_i 中相同位置的位，同时破坏 P_{i-1}。公式：P'_i[j] = P_i[j] ⊕ (C_{i-1}[j] ⊕ C'_{i-1}[j])。
6. CBC 位翻转实现：cbc_bitflip(ciphertext, block_size, target_byte_pos, old_value, new_value)，将目标明文字节位置转换为块号 block_num 和块内偏移 byte_in_block，修改前一个块 (block_num - 1) 中对应字节：ct[modify_pos] ^= old_value ^ new_value。示例：将 "admin=0" 中的 '0' 翻转为 '1'。
7. ECB 模式检测：ECB 对相同明文块产生相同密文块。detect_ecb(ciphertext, block_size=16) 将密文分块，检查块列表长度是否不等于去重后长度。也可发送 b"A"*48 强制检测，若响应中有重复块则很可能是 ECB。
8. ECB Cut-and-Paste 攻击：重排密文块以创建新的有效明文。步骤：1) 构造 email 使 "admin" + PKCS7 padding 恰好落在独立块（例如 email = "foo@bar.coadmin\x0b..."），保存该加密块；2) 构造 email 使 "role=" 位于块尾（例如 email = "foo@bar.co"），得到块 "=user&uid=10..."；3) 用保存的 "admin\x0b..." 块替换 "user" 所在块。
9. Byte-at-a-Time ECB 解密：当加密 oracle 为 AES_ECB(input || unknown_secret) 时，逐字节恢复 unknown_secret。实现 ecb_byte_at_a_time(encrypt_oracle, block_size=16)：对 i 从 0 到 secret_len-1，计算 block_num = i // block_size，pad_len = block_size - 1 - (i % block_size)，用 b"A" * pad_len 构造 padding；获取目标密文块；对 byte_val 从 0 到 255，构造 test_input = padding + secret + bytes([byte_val])，比较对应密文块，匹配则追加该字节。
10. 流密码 known-plaintext / 密钥重用（Two-Time Pad）：当 c1 = m1 ⊕ K, c2 = m2 ⊕ K 使用相同密钥 K 时，c1 ⊕ c2 = m1 ⊕ m2，密钥抵消。实现 two_time_pad(c1, c2, known_crib=None)：计算 xored = c1 ⊕ c2；若提供 known_crib，则在每个偏移尝试 XOR 并检查结果是否均为可打印字符，返回候选。
11. 单字节 XOR 暴力破解：对密文尝试 256 个单字节密钥，使用英语频率分析评分。实现 single_byte_xor_crack(ciphertext)：定义英语字母频率表，对每个 key 计算 plaintext = bytes(b ^ key for b in ciphertext)，累加可打印字符的频率得分，返回最高分的 key 和 plaintext。
12. 重复密钥 XOR 破解（Kasiski-like）：实现 repeating_xor_crack(ciphertext, max_keylen=40)。先用 Hamming 距离找密钥长度：对 kl 从 2 到 max_keylen，将密文按 kl 分块，计算相邻块之间的 Hamming 距离总和并归一化，选归一化距离最小的 kl。然后对每个密钥位置，提取该位置的列字节，用 single_byte_xor_crack 破解，拼接得到 key。
13. LFSR 状态恢复（Berlekamp-Massey）：实现 berlekamp_massey_gf2(output_bits)，从输出位序列恢复 LFSR 的反馈多项式。算法：初始化 C 和 B 数组，C[0]=B[0]=1，L=0，m=1，b=1；对每个 N，计算 d = output_bits[N] XOR 从 1 到 L 的 C[i] & output_bits[N-i]；若 d == 0 则 m += 1；否则若 2*L <= N，保存 T=C，对 i 从 m 到 n 更新 C[i] ^= B[i-m]，更新 L = N+1-L，B=T，b=d，m=1；否则对 i 从 m 到 n 更新 C[i] ^= B[i-m]，m += 1。返回 C[:L+1], L。
14. RC4 偏差利用：利用 RC4 的统计偏差。初始字节偏差：P(K[0] = 0) ≈ 2/256，可对前几字节进行统计明文恢复。Fluhrer-Mantin-Shamir 攻击：弱密钥调度与 IV 结合，用于 WEP 攻击。NOMORE 攻击：长程密钥流偏差，用于 TLS/RC4 明文恢复（约 2^24-2^26 个密文）。不变性弱点：整个流中依赖密钥的偏差，可对大量加密进行统计攻击。
15. Meet-in-the-Middle 攻击（双重加密）：双重加密 C = E_K2(E_K1(P))。步骤：1) 用所有可能的 K1 加密 P，将 (E_K1(P), K1) 存入表；2) 用所有可能的 K2 解密 C，检查 D_K2(C) 是否匹配表中条目；3) 匹配则恢复 (K1, K2)。实现 meet_in_the_middle(encrypt, decrypt, plaintext, ciphertext, keyspace_bits)：先构建 enc_table，再遍历 K2 查找。

适用边界 · 注意事项

• 仅在 CTF 或获得明确授权的安全测试中使用；严禁用于未授权攻击。
• 当目标使用 AEAD（如 AES-GCM）或对密文完整性有校验时，padding oracle、位翻转、cut-and-paste 等攻击通常无效。
• 当无法观察 oracle 响应（padding 错误）、无法修改密文、没有密钥重用/已知明文/足够多的密文样本时，对应攻击不适用。