新型 C4 炸弹攻击绕过 Chrome 应用绑定 Cookie 加密机制-技术快报

新型 C4 炸弹攻击绕过 Chrome 应用绑定 Cookie 加密机制

发布时间：2025-11-03 16:50:13 来源：技术快报作者：数据库

研究人员发现一项严重漏洞（被命名为C4，新型即Chrome Cookie Cipher Cracker），炸制允许低权限攻击者解密Chrome的弹攻定AppBound Cookie Encryption（应用绑定Cookie加密）功能。该安全特性由谷歌于2024年7月推出，击绕e加旨在保护用户Cookie免受信息窃取类恶意软件侵害。应用绑

核心发现：

(1) 加密机制突破

C4攻击针对Chrome采用的双层DPAPI加密体系：先使用User-DPAPI加密，再通过SYSTEM-DPAPI二次加密，炸制理论上仅限SYSTEM级进程访问。弹攻定CyberArk研究发现，击绕e加负责处理解密请求的应用绑COM服务（以SYSTEM权限运行）意外产生了填充预言漏洞。

当提升服务尝试解密被篡改的b2b信息网密机密文时，Windows事件查看器会根据填充有效性生成不同错误消息——无效填充显示"unknown"错误，新型而有效填充但签名错误则显示"MAC check failed"。炸制这种差异响应形成了攻击者可利用的弹攻定填充预言。

(2) 攻击实施过程

攻击者通过以下步骤完成解密：

完整攻击需约16小时，期间需向提升服务发送大量进程间通信(IPC)请求，并持续监控Windows事件日志获取填充验证响应。每次猜测涉及文件读写操作和多次IPC交互，导致耗时较长。

(3) 替代攻击路径

研究人员还发现更简单的COM劫持技术：通过将提升服务重定向至不存在二进制文件，迫使Chrome回退至旧版加密方法。该技术门槛较低，但会导致先前加密的WordPress模板Cookie丢失。

谷歌在2024年12月收到漏洞报告后，于2025年2月将其列为"已确认"状态。截至2025年6月23日，Chrome已部署临时解决方案（默认关闭状态），完整修复方案将在未来版本推出。微软则认为该DPAPI漏洞"实际利用难度较高"，不符合安全修复标准。

该研究揭示了传统安全机制组合创新可能产生意外漏洞，凸显加密实现方案评审的重要性。同时再次引发对CBC加密模式安全性的担忧，专家建议应考虑全面弃用该模式。