六、Insecure CAPTCHA-不安全的验证
原理
Insecure CAPTCHA 意思是不安全的验证码，CAPTCHA 是 Completely Automated Public Turing Test to Tell Computers and Humans Apart(全自动区分计算机和人类的图灵测试)的简称。主要原因是验证流程出现了逻辑漏洞。
reCAPTCHA验证流程
服务器通过调用recaptcha_check_answer函数检查用户输入的正确性。
recaptch_check_answer(privkey, remoteip, challenge, response)
参数privkey是服务器申请的privatekey，remoteip 是用户的 ip，challeng 是recaptcha_challenge_field字段的值，来自前端页面，response 是 recaptcha_response_field字段的值。函数返回ReCaptchaResponse class 的实例，ReCaptchaResponse 类有2个属性 ：
- $is_valid是布尔型的，表示校验是否有效
- $error是返回的错误代码
DVWA Insecure CAPTCHA不安全的验证码关卡时，出现报错：
出现该问题是因为使用reCAPTCHA没有申请密钥，因此需要手动填入密钥，打开提示的配置文件，找到
$_DVWA[ 'recaptcha_public_key' ] = '';
$_DVWA[ 'recaptcha_private_key' ] = '';
修改为
$_DVWA[ 'recaptcha_public_key' ] = '6LdK7xITAAzzAAJQTfL7fu6I-0aPl8KHHieAT_yJg';
$_DVWA[ 'recaptcha_private_key' ] = '6LdK7xITAzzAAL_uw9YXVUOPoIHPZLfw2K1n5NVQ';
1. Low
查看源代码
<?php
if( isset( $_POST[ 'Change' ] ) && ( $_POST[ 'step' ] == '1' ) ) {
// Hide the CAPTCHA form
$hide_form = true;
// Get input
$pass_new = $_POST[ 'password_new' ];
$pass_conf = $_POST[ 'password_conf' ];
// Check CAPTCHA from 3rd party
$resp = recaptcha_check_answer(
$_DVWA[ 'recaptcha_private_key'],
$_POST['g-recaptcha-response']
);
// Did the CAPTCHA fail?
if( !$resp ) {
// What happens when the CAPTCHA was entered incorrectly
$html .= "<pre><br />The CAPTCHA was incorrect. Please try again.</pre>";
$hide_form = false;
return;
}
else {
// CAPTCHA was correct. Do both new passwords match?
if( $pass_new == $pass_conf ) {
// Show next stage for the user
$html .= "
<pre><br />You passed the CAPTCHA! Click the button to confirm your changes.<br /></pre>
<form action=\"#\" method=\"POST\">
<input type=\"hidden\" name=\"step\" value=\"2\" />
<input type=\"hidden\" name=\"password_new\" value=\"{$pass_new}\" />
<input type=\"hidden\" name=\"password_conf\" value=\"{$pass_conf}\" />
<input type=\"submit\" name=\"Change\" value=\"Change\" />
</form>";
}
else {
// Both new passwords do not match.
$html .= "<pre>Both passwords must match.</pre>";
$hide_form = false;
}
}
}
if( isset( $_POST[ 'Change' ] ) && ( $_POST[ 'step' ] == '2' ) ) {
// Hide the CAPTCHA form
$hide_form = true;
// Get input
$pass_new = $_POST[ 'password_new' ];
$pass_conf = $_POST[ 'password_conf' ];
// Check to see if both password match
if( $pass_new == $pass_conf ) {
// They do!
$pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$pass_new = md5( $pass_new );
// Update database
$insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
// Feedback for the end user
$html .= "<pre>Password Changed.</pre>";
}
else {
// Issue with the passwords matching
$html .= "<pre>Passwords did not match.</pre>";
$hide_form = false;
}
((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
?>
服务器将改密操作分成了两步，第一步检查用户输入的验证码，验证通过后，服务器返回表单，第二步客户端提交post请求，服务器完成更改密码的操作。但是，这其中存在明显的逻辑漏洞，服务器仅仅通过检查Change、step 参数来判断用户是否已经输入了正确的验证码。
漏洞利用
符合POST请求里带Change、step是2的条件，就可以直接跳过第一步的验证码。
通过Burp代理抓包修改step=2，就可以绕过第一步，从而再利用CSRFD漏洞成功修改密码
修改成功
2. Medium
Medium级别的代码依然将改密操作分成了两步，第一步检查用户输入的验证码，验证通过后，服务器返回表单，第二步客户端提交post请求，服务器完成更改密码的操作。与Low级别不同的是，在第二步验证时，增加了对参数passed_captcha的检查，如果参数值为true，则认为用户已经通过了验证码检查，然而用户依然可以通过伪造参数绕过验证，本质上来说，这与Low级别的验证没有任何区别。
漏洞利用
通过Burp抓包，更改step参数，增加passed_captcha参数，绕过验证码。
抓包修改如下：
更改密码成功
3. High
查看源代码
满足以下任一条件就可以修改密码：
- 验证码为真
- 参数g-recaptcha-response等于hidd3n_valu3，并且http包头的User-Agent参数等于reCAPTCHA
漏洞利用
搞清楚了验证逻辑，下一步就是伪造绕过，伪造参数g-recaptcha-response、User-Agent。抓包修改如下
更改密码成功
防护方法
- 修改密码时需输入原密码
- 使用Anti-CSRF Token机制