#pkcs7

복호 메뉴가 알려주는 건 unpad 가 성공했는지 아닌지 딱 한 비트다. 그 한 비트로 AES 블록을 바이트 단위로 뜯는 게 패딩 오라클인데, 이 문제는 IV 를 끝까지 숨겨서 오라클 한 번으로는 secret 이 아니라 secret XOR IV 까지만 나온다. 평문 0 을 암호화해 받은 블록으로 오라클을 한 번 더 돌려 IV 를 상쇄한 과정과, 로컬에서는 멀쩡한데 원격에서만 터진 버그 하나를 정리했다.

AES-CBC 서버가 IV 를 키로 재사용한다. 같은 블록을 IV 가 섞이는 자리와 안 섞이는 자리에 나란히 놓고 복호를 한 번 요청하면 두 평문의 XOR 이 그대로 IV, 즉 키가 된다. 진짜 관문은 그 요청이 unpad() 를 통과하게 만드는 꼬리 블록이었다.