Butterfly & sky-CSDN博客

原创 DVWA CSRF （跨站请求伪造）Impossible

Impossible级别CSRF防护机制通过多重安全措施实现强防护：1) 使用Anti-CSRF Token验证请求来源；2) 强制要求验证当前密码（核心防御）；3) 采用POST方法防止URL暴露参数；4) 使用PDO预处理语句杜绝SQL注入；5) 实施SameSite=Strict和HttpOnly Cookie防护。该级别通过"知道秘密才能修改秘密"的设计理念，结合二次认证（需输入当前密码）和数据库安全查询，有效阻止了传统CSRF攻击。

2026-04-18 17:32:28 436

原创 DVWA CSRF （跨站请求伪造）High

摘要：本文分析了高级别安全机制中的CSRF防护和SQL注入防护措施。在CSRF防护方面，系统采用Token验证机制，每次页面加载生成新Token

2026-04-18 17:07:05 153

原创 DVWA CSRF （跨站请求伪造）Medium

DVWA CSRF Medium级别通过检查HTTP Referer头防御CSRF攻击，但使用stripos()函数仅验证字符串包含关系存在缺陷。攻击者可利用文件名伪造（如命名为目标IP.html）、URL参数注入或目录结构伪造等方式，使Referer中包含目标域名字符串从而绕过验证。此外，还可利用文件上传漏洞托管恶意页面，或使用Burp Suite手动修改请求头进行测试。

2026-04-13 16:02:13 344

原创 DVWA CSRF （跨站请求伪造）Low

CSRF（跨站请求伪造）是一种利用用户登录状态实施攻击的技术。攻击者通过伪造请求（如修改密码、转账等操作），利用网站对浏览器的信任机制诱骗用户执行非自愿操作。DVWA低安全级别示例显示：系统仅使用GET请求修改密码，缺乏Token验证和Referer检查等防护措施，导致攻击者可构造恶意链接或自动提交表单（如伪装成中奖页面）。防御措施包括：使用CSRF Token、验证Referer头、设置Cookie的SameSite属性、关键操作采用POST请求及二次验证等。

2026-04-13 14:17:08 362

原创 DVWA Command Injection （命令执行）Impossible

该PHP代码实现了严格的命令注入防护机制，采用多层安全验证：1）Anti-CSRF Token防止伪造请求；2）输入过滤去除转义字符；3）IP地址分段验证（必须为4段纯数字）。通过白名单机制仅允许数字和点号，有效阻断了特殊字符注入。虽然存在is_numeric()宽松性可能接受非标准IP，但整体采用"只允许安全字符"的设计理念，结合输入格式严格校验，形成了纵深防御体系。建议改进错误提示的明确性，但该设计已实现Impossible级别的命令注入防护。

2026-04-04 21:11:15 274

原创 DVWA Command Injection （命令执行）High

该案例展示了一个典型的黑名单过滤漏洞。开发者在过滤命令注入时设置了管道符(|)黑名单，但仅过滤了"| "（带空格）的情况，而遗漏了单独的"|"。攻击者通过输入"127.0.0.1|whoami"即可绕过防护，使系统执行whoami命令并返回结果。这暴露了黑名单机制因逻辑缺陷导致的安全风险，强调精确过滤的重要性

2026-04-04 20:32:15 38

原创 DVWA Command Injection （命令执行）Medium

Medium级别源码审计采用黑名单过滤机制，通过映射关系替换或删除危险字符。但该防护极易被绕过，如使用&、|等符号组合（如&;&被处理为&&）或双写字符即可执行命令。典型攻击示例包括127.0.0.1&whoami和127.0.0.1|ls。虽然黑名单方式常用于教学演示，但其防护效果几乎为零，生产环境必须采用更严格的白名单机制而非此类易绕过的过滤方案。

2026-04-04 20:16:42 36

原创 DVWA Command Injection （命令执行）Low

命令执行漏洞是当应用程序未正确处理用户输入，导致攻击者能在服务器上执行任意系统命令的安全风险。常见原因包括直接调用系统函数、未过滤特殊字符或危险拼接命令字符串。攻击者可利用命令连接符（如;、&、|）注入恶意指令，通过whoami、uname等命令收集信息，甚至反弹shell获取控制权。绕过技巧包括使用${IFS}替代空格、编码或拆分关键字等。该漏洞常出现在直接使用shell_exec等函数且未过滤输入的代码中，防御需严格验证用户输入并避免直接拼接命令。

2026-04-03 18:02:47 175

原创 DVWA brute force （暴力破解）Impossible

DVWA的Impossible级别通过六层防御机制构建极致安全防护：1)PDO预处理语句固定SQL结构；2)输入过滤与转义双重处理；3)查询结构加固限制返回数据；4)CSRF Token机制阻断自动化攻击；5)账户锁定策略实现速率限制；6)随机延迟响应防范时序分析。这些措施形成纵深防御体系，使暴力破解在计算和逻辑层面均不可行，体现了工业级安全设计的核心原则——通过多层防护机制叠加，将攻击成本提升到不可接受的程度。

2026-03-30 17:55:08 172

原创 DVWA brute force （暴力破解）High

High级别源码审计在CSRF防护方面进行了增强，通过随机Token验证和延迟响应提高安全性。审计发现新增了stripslashes防转义、随机Token生成及校验机制，并在登录失败时加入随机延迟。渗透测试显示，虽然Token机制增加了攻击复杂度，但通过先获取Token再爆破的方式仍可绕过防护。测试使用Pitchfork模式并行处理密码和Token，需单线程操作避免Token失效。结果表明系统仍需账户锁定机制才能真正防护暴力破解，仅靠Token和延迟无法完全阻止攻击。

2026-03-29 20:07:10 187

原创 DVWA brute force（暴力破解） Medium

暴力破解 medium 级别

2026-03-29 11:13:08 20

原创 DVWA brute force（暴力破解）low

DVWA（Damn Vulnerable Web Application）是一个专门设计用于的开源靶场平台。它故意包含了多种常见的Web安全漏洞，供安全研究人员、渗透测试人员和开发者在合法环境中学习和测试攻击技术。

2026-03-28 11:54:44 562

2401_87939543的博客