web基础—dvwa靶场（三）CSRF

已于 2024-09-17 11:39:37 修改
阅读量649 收藏 25
点赞数 29
分类专栏： web 文章标签： 网络安全 web
于 2024-09-17 11:24:33 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_74080781/article/details/142312694
版权

CSRF（跨站请求伪造）

CSRF（跨站请求伪造），全称为Cross-site request forgery，简单来说，是攻击者利用受害者尚未失效的身份认证信息，诱骗受害者点击恶意链接或含有攻击代码的页面，在受害者不知情的情况下以受害者的身份像服务器发起请求，从而实现非法攻击（改密）。

CSRF主题：

Low

源码解析
<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Get input
//获取两个输入框的密码
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

    // Do the passwords match?
//查看两次输入的是否一致
    if( $pass_new == $pass_conf ) {
        // They do!
//如果一致就直接插入数据库
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update the database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

通过GET方式获取两次密码，两次密码输入一致的话，就可以直接带入数据中修改密码。

漏洞复现

（1）先来做个尝试，将密码改成123456，两次都输入123456，发现直接修改成功了

 （2）测试一下密码123456，先测试一下原来的密码（原来的密码就是你登录DVWA的密码）

 原来的密码很明显已经不行了，接下来试一下123456

 （3）经过上面的尝试发现可以成功修改账号密码，而且我们发现了URL那里的变化，接下来我们从URL处入手再改一下，首先先重置一下数据库，把密码改回来。

在 C:\phpstudy_pro\WWW 文件夹中建立一个 1.html ，里面写入

<img src="http://127.0.0.3/vulnerabilities/csrf/?password_new=123456&password_conf=123456&Change=Change#" border="0" style="display:none;"/>

<h1>404<h1>

<h2>file not found.<h2>

这样的话，当我们打开 1.html 文件的时候，密码就会被修改成123456，（诱骗受害者点击这个1.html文件）

Medium

源码解析
<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Checks to see where the request came from
//stripos(str1, str2)检查str2在str1中出现的位置（不区分大小写)，如果有返//回True，反之False
//判断Host字段是否出现在referer字段中
    if( stripos( $_SERVER[ 'HTTP_REFERER' ] ,$_SERVER[ 'SERVER_NAME' ]) !== false ) {
        // Get input

        $pass_new  = $_GET[ 'password_new' ];
        $pass_conf = $_GET[ 'password_conf' ];

        // Do the passwords match?
        if( $pass_new == $pass_conf ) {
            // They do!
            $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
            $pass_new = md5( $pass_new );

            // Update the database
            $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
            $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

            // Feedback for the user
            echo "<pre>Password Changed.</pre>";
        }
        else {
            // Issue with passwords matching
            echo "<pre>Passwords did not match.</pre>";
        }
    }
    else {
        // Didn't come from a trusted source
        echo "<pre>That request didn't look correct.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

　　Medium级别的代码检查了保留变量 HTTP_REFERER（http包头的Referer参数的值，表示来源地址）中是否包含SERVER_NAME（http包头的Host参数，及要访问的主机名，这里是127.0.0.3），希望通过这种机制抵御CSRF攻击。

漏洞复现

其实意思是这个referer中只要出现Host就可以正常操作

恶意网站中是这样的，显然是不成立的

Host 127.0.0.3

Referer http://127.0.0.1/

如果是这样的呢

Host 127.0.0.3

Referer http://127.0.0.1/127.0.0.3.html

这样就可以绕过，从而实现改密的操作了。

High

源码解析
<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Check Anti-CSRF token
//可以看到加入了token机制
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

    // Do the passwords match?
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update the database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

// Generate Anti-CSRF token
generateSessionToken();

?>

　　High级别的代码增加了Anti-CSRF token机制，用户每次访问改密页面时，服务器会返回一个随机的token，向服务器发起请求时，需要提交token参数，而服务器在收到请求时，会优先检查token，只有token正确，才会处理客户端请求。

漏洞复现

　　思路：利用xss，xss可以执行代码，获取token（在这路利用XSS其实是获取的cookie值，但是cookie值中是包含token值的，所以在这个地方我们使用XSS执行。参考文章：https://www.cnblogs.com/zhaof/p/6281482.html）

（1）利用XSS获取cookie

<script>alert(document.cookie)</script>

复制： PHPSESSID=8kha1nlrqamui5c8n6k1au4md1; security=low

（2）抓包修改密码

Impossible

源码分析
<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
//输入原来的密码
    $pass_curr = $_GET[ 'password_current' ];
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

    // Sanitise current password input
    $pass_curr = stripslashes( $pass_curr );
    $pass_curr = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_curr ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass_curr = md5( $pass_curr );

    // Check that the current password is correct
    $data = $db->prepare( 'SELECT password FROM users WHERE user = (:user) AND password = (:password) LIMIT 1;' );
    $data->bindParam( ':user', dvwaCurrentUser(), PDO::PARAM_STR );
    $data->bindParam( ':password', $pass_curr, PDO::PARAM_STR );
    $data->execute();

    // Do both new passwords match and does the current password match the user?
    if( ( $pass_new == $pass_conf ) && ( $data->rowCount() == 1 ) ) {
        // It does!
        $pass_new = stripslashes( $pass_new );
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update database with new password
        $data = $db->prepare( 'UPDATE users SET password = (:password) WHERE user = (:user);' );
        $data->bindParam( ':password', $pass_new, PDO::PARAM_STR );
        $data->bindParam( ':user', dvwaCurrentUser(), PDO::PARAM_STR );
        $data->execute();

        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match or current password incorrect.</pre>";
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?>
漏洞复现

　　要求我们先输入密码再修改，攻击者不知道原始密码的情况下是无法发起 CSRF 攻击的。

常见防范措施

1、加入Anti-CSRF，每次向客户端发送一个随机数，当客户端向服务器发送数据时对比随机数从而确定身份
2、获取当前用户密码，以此判断是否为当前用户操作
3、二次确认（提示、二次密码、验证码）

xuan哈哈哈
关注
专栏目录
DVWA靶场练习三—CSRF
afei001
05-04 722
CSRF介绍 CSRF跨站点请求伪造（Cross-Site Request Forgery）是一种攻击，它迫使最终用户在当前已通过身份验证的Web应用程序上执行不需要的操作。CSRF攻击专门针对状态更改请求而不是数据窃取，因为攻击者无法看到对伪造请求的响应。在社交工程的一点帮助下（例如通过电子邮件或聊天发送链接），攻击者可能会欺骗Web应用程序的用户执行攻击者选择的操作。如果...
DVWA通关攻略（适合新手）
夜思红尘的博客
04-12 9321
这里是关于网络安全入门的靶场DVWA，适合新手
DVWA靶场通关----(3) CSRF教程
z09364517158的博客
04-02 666
CSRF（跨站请求伪造），全称为Cross-site request forgery，简单来说，是攻击者利用受害者尚未失效的身份认证信息，诱骗受害者点击恶意链接或含有攻击代码的页面，在受害者不知情的情况下以受害者的身份像服务器发起请求，从而实现非法攻击（改密）。High级别的代码增加了Anti-CSRF token机制，用户每次访问改密页面时，服务器会返回一个随机的token，向服务器发起请求时，需要提交token参数，而服务器在收到请求时，会优先检查token，只有token正确，才会处理客户端请求。
DVWA靶场练习（三）——CSRF
最新发布
liuzibo1024的博客
07-29 556
CSRF又称跨站请求伪造，是恶意网站通过伪造已认证用户的请求从而绕过网站验证实现恶意攻击的行为。下面是CSRF的基本流程，攻击者伪造的请求通常包含一些数据的敏感操作，通过伪造链接获取用户的权限实现相应的攻击。
DVWA靶场通关（CSRF）
m0_56010012的博客
04-05 3195
CSRF（Cross-site request forgery），翻译过来就是跨站请求伪造，是指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法操作（如转账、改密等）。 CSRF与XSS最大的区别就在于，CSRF并没有盗取cookie而是直接利用。而最常见的就是QQ空间的登陆。 CSRF属于业务逻辑漏洞,服务器信任经过身份认证的用户。 XSS属于技术漏洞,客
DVWA靶场之CSRF通关详解
qq_62169455的博客
06-27 3092
CSRF的形成原因主要是由于Web应用程序没有充分验证请求来源的问题。正常的请求必须携带正确的Cookie信息，而攻击者可以构造一个恶意网站，在其中包含一个发送CSRF请求的链接或表单，当用户访问这个网站时，浏览器会自动发送CSRF请求到被攻击的网站，从而实现攻击。这里查看源码，与刚刚的low等级比较发现，这里只有一个等级发生了改变，即在传入密码和确认密码参数前先进行了一个if语句的判断，判断里面的内容主要是验证这个访问请求是否从dvwa网站本身发起的，如果不是这个网站发起的请求，后面的操作就不执行。
DVWA 靶场CSRF（low）
qq_14902381的博客
08-15 1485
dvwa靶场，csrf利用
DVWA靶场源码分享
12-11
DVWA靶场提供了各种级别的漏洞，从低到高，让使用者能够逐步挑战并了解如何发现和修复这些漏洞。 在“DVWA靶场源码分享”中，你将获得DVWA的源代码，这将允许你在本地环境中设置和运行这个应用。这样，你就可以在...
dvwa靶场训练.rar
03-17
《DVWA靶场训练——新手入门Web安全与渗透测试指南》 DVWA（Damn Vulnerable Web Application）是一款专为Web安全学习和渗透测试设计的开源靶场，它提供了各种典型的Web应用程序安全漏洞，帮助初学者了解和实践网络...
DVWA靶场CSRF
10-19
在DVWA靶场中，可以通过构造恶意链接或表单来模拟CSRF攻击，从而测试Web应用程序的安全性。在引用中提供了两个链接，其中一个是可以发生CSRF攻击的，另一个则需要使用user_token进行验证。为了防止CSRF攻击，Web应用...
DVWA靶场-CSRF
zeroone的博客
01-15 2726
第三关：CSRF（跨站请求伪造漏洞）       CSRF，全称Cross-site request forgery，跨站请求伪造，是指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法操作（如转账、改密等） Low <?php if( isset( $_GET[ 'Change' ] ) ) {
DVWA全级别通关教程
热门推荐
weixin_52515588的博客
03-26 9万+
首先选择难度，我们从low开始，如上图所示进行修改 目录 SQL手工注入 过程： low Medium high Impossible SQL 盲注 过程： SQL 工具注入 工具安装过程： 过程： low Medium High: 暴力破解 过程： Low Medium High Impossible 命令注入 过程： Low Medium High: Impossible 文件上传 过程： Low Medium High Im...
DVWA靶场通关——CSRF攻击
p36273的博客
07-01 1434
DVWA靶场一共又三关，现在我们就来通关吧。使用工具：Burp Suite Professional抓包工具。
DVWA 靶场CSRF(跨站请求伪造)
qq_43508668的博客
04-10 272
靶场CSRFlowMiddle low <?php if( isset( $_GET[ 'Change' ] ) ) { // Get input $pass_new = $_GET[ 'password_new' ]; $pass_conf = $_GET[ 'password_conf' ]; // Do the passwords match? if( $pass_new == $pass_conf ) { // They do!
dvwa靶场之csrf（跨站请求伪造）与文件包含
m0_63314341的博客
02-05 2426
csrf（跨站请求伪造） 我们先来分析一下源代码 当我们选择更改密码时，我们输入新密码和重复新密码，当新密码和重复的密码一致时将我们的新密码与数据库中的旧密码进行替换即更新数据库 因此我们可以引导该用户点击http://127.0.0.1/dvwa/vulnerabilities/csrf/?password_new=1234&password_conf=1234&Change=Change# 其密码就会被我们更改为password_new后面的密码即1234（前提该链接中.
DVWA漏洞靶场-跨站请求伪造(CSRF)
07-30 307
漏洞原理： 　　CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装成受信任用户的请求来利用受信任的网站。与XSS攻击相比，C...
DVWA 靶场通关教程
m0_56369117的博客
08-13 4568
这里写自定义目录标题0X00 前言概述0X01 环境搭建0X02 渗透正文（1）暴力破解(Brute Force)Security Level 【LOW】如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 0X00 前言概述 该死的易受攻击的 Web 应用程序 (DVWA) 是一个该死的易受攻击的 PHP/
DVWA靶场系列（二）—— CSRF（跨站请求伪造）
qq_45612828的博客
07-10 1695
DVWA靶场系列（二）—— CSRF（跨站请求伪造）
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值