DVWA-不安全的验证码

最新推荐文章于 2023-06-07 15:33:27 发布
最新推荐文章于 2023-06-07 15:33:27 发布
阅读量1.9k 收藏 9
点赞数 1
文章标签： 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_60848021/article/details/125469632
版权

 出现该问题是因为使用reCAPTCHA没有申请密钥，需要手动填入密钥，打开config.inc.php配置文件，找到

$_DVWA[ 'recaptcha_public_key' ]  = '';
$_DVWA[ 'recaptcha_private_key' ] = '';

改为：

$_DVWA[ 'recaptcha_public_key' ]  = '6LdK7xITAAzzAAJQTfL7fu6I-0aPl8KHHieAT_yJg';
$_DVWA[ 'recaptcha_private_key' ] = '6LdK7xITAzzAAL_uw9YXVUOPoIHPZLfw2K1n5NVQ';

漏洞介绍：

CAPTCHA项目是Completely Automated Public Turing Test to Tell Computers and Humans Apart (全自动区分计算机和人类的图灵测试)的简称，是一种区分用户是计算机和人的公共全自动程序。
使用CAPTCHA可以防止计算机恶意破解密码、刷单等，保证用户是人类(无法快速反复发送请求)。
攻击者绕过CAPTCHA验证后，可以使用恶意脚本操控计算机反复发送请求或者在异地实现绕过验证的CSRF攻击。

漏洞原理：

CAPTCHA漏洞利用验证机制的逻辑漏洞，下面给出验证流程

 

服务器使用recaptcha_check_answer()函数验证用户输入的正确性
 

recaptcha_check_answer(string: $privkey, string: $remoteip, string: $challenge, string: $response, array: $extra_params = array())

可以利用服务器核对验证信息这个环节，绕过CAPTCHA验证，完成非人类请求。

一，low

源码分析：

<?php

if( isset( $_POST[ 'Change' ] ) && ( $_POST[ 'step' ] == '1' ) ) {
    // Hide the CAPTCHA form
    $hide_form = true;

    // Get input
    $pass_new  = $_POST[ 'password_new' ];
    $pass_conf = $_POST[ 'password_conf' ];

    // Check CAPTCHA from 3rd party
    $resp = recaptcha_check_answer(
        $_DVWA[ 'recaptcha_private_key'],
        $_POST['g-recaptcha-response']
    );

    // Did the CAPTCHA fail?
    if( !$resp ) {
        // What happens when the CAPTCHA was entered incorrectly
        $html     .= "<pre><br />The CAPTCHA was incorrect. Please try again.</pre>";
        $hide_form = false;
        return;
    }
    else {
        // CAPTCHA was correct. Do both new passwords match?
        if( $pass_new == $pass_conf ) {
            // Show next stage for the user
            echo "
                <pre><br />You passed the CAPTCHA! Click the button to confirm your changes.<br /></pre>
                <form action=\"#\" method=\"POST\">
                    <input type=\"hidden\" name=\"step\" value=\"2\" />
                    <input type=\"hidden\" name=\"password_new\" value=\"{$pass_new}\" />
                    <input type=\"hidden\" name=\"password_conf\" value=\"{$pass_conf}\" />
                    <input type=\"submit\" name=\"Change\" value=\"Change\" />
                </form>";
        }
        else {
            // Both new passwords do not match.
            $html     .= "<pre>Both passwords must match.</pre>";
            $hide_form = false;
        }
    }
}

if( isset( $_POST[ 'Change' ] ) && ( $_POST[ 'step' ] == '2' ) ) {
    // Hide the CAPTCHA form
    $hide_form = true;

    // Get input
    $pass_new  = $_POST[ 'password_new' ];
    $pass_conf = $_POST[ 'password_conf' ];

    // Check to see if both password match
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

        // Feedback for the end user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with the passwords matching
        echo "<pre>Passwords did not match.</pre>";
        $hide_form = false;
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

服务器将改密操作分成了两步，第一步检查用户输入的验证码，验证通过后，服务器返回表单，第二步客户端提交post请求，服务器完成更改密码的操作，也没有进行任何安全防护。但是，这其中存在明显的逻辑漏洞，服务器仅仅通过检查Change、step 参数来判断用户是否已经输入了正确的验证码。

使用BP进行抓包，将step参数更改以此来绕过验证码，从而修改密码：

 

 二，Medium

<?php

if( isset( $_POST[ 'Change' ] ) && ( $_POST[ 'step' ] == '1' ) ) {
    // Hide the CAPTCHA form
    $hide_form = true;

    // Get input
    $pass_new  = $_POST[ 'password_new' ];
    $pass_conf = $_POST[ 'password_conf' ];

    // Check CAPTCHA from 3rd party
    $resp = recaptcha_check_answer(
        $_DVWA[ 'recaptcha_private_key' ],
        $_POST['g-recaptcha-response']
    );

    // Did the CAPTCHA fail?
    if( !$resp ) {
        // What happens when the CAPTCHA was entered incorrectly
        $html     .= "<pre><br />The CAPTCHA was incorrect. Please try again.</pre>";
        $hide_form = false;
        return;
    }
    else {
        // CAPTCHA was correct. Do both new passwords match?
        if( $pass_new == $pass_conf ) {
            // Show next stage for the user
            echo "
                <pre><br />You passed the CAPTCHA! Click the button to confirm your changes.<br /></pre>
                <form action=\"#\" method=\"POST\">
                    <input type=\"hidden\" name=\"step\" value=\"2\" />
                    <input type=\"hidden\" name=\"password_new\" value=\"{$pass_new}\" />
                    <input type=\"hidden\" name=\"password_conf\" value=\"{$pass_conf}\" />
                    <input type=\"hidden\" name=\"passed_captcha\" value=\"true\" />
                    <input type=\"submit\" name=\"Change\" value=\"Change\" />
                </form>";
        }
        else {
            // Both new passwords do not match.
            $html     .= "<pre>Both passwords must match.</pre>";
            $hide_form = false;
        }
    }
}

if( isset( $_POST[ 'Change' ] ) && ( $_POST[ 'step' ] == '2' ) ) {
    // Hide the CAPTCHA form
    $hide_form = true;

    // Get input
    $pass_new  = $_POST[ 'password_new' ];
    $pass_conf = $_POST[ 'password_conf' ];

    // Check to see if they did stage 1
    if( !$_POST[ 'passed_captcha' ] ) {
        $html     .= "<pre><br />You have not passed the CAPTCHA.</pre>";
        $hide_form = false;
        return;
    }

    // Check to see if both password match
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

        // Feedback for the end user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with the passwords matching
        echo "<pre>Passwords did not match.</pre>";
        $hide_form = false;
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

Medium级别的代码在第二步验证时，参加了对参数passed_captcha的检查，如果参数值为true，则认为用户已经通过了验证码检查，当不满足验证码校验时返回You have not passed the CAPTCHA。在更改参数的同时添加条件为真即：passed_captcha=true.

 

 三，Hight

源码分析：

<?php

if( isset( $_POST[ 'Change' ] ) ) {
    // Hide the CAPTCHA form
    $hide_form = true;

    // Get input
    $pass_new  = $_POST[ 'password_new' ];
    $pass_conf = $_POST[ 'password_conf' ];

    // Check CAPTCHA from 3rd party
    $resp = recaptcha_check_answer(
        $_DVWA[ 'recaptcha_private_key' ],
        $_POST['g-recaptcha-response']
    );

    if (
        $resp || 
        (
            $_POST[ 'g-recaptcha-response' ] == 'hidd3n_valu3'
            && $_SERVER[ 'HTTP_USER_AGENT' ] == 'reCAPTCHA'
        )
    ){
        // CAPTCHA was correct. Do both new passwords match?
        if ($pass_new == $pass_conf) {
            $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
            $pass_new = md5( $pass_new );

            // Update database
            $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "' LIMIT 1;";
            $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

            // Feedback for user
            echo "<pre>Password Changed.</pre>";

        } else {
            // Ops. Password mismatch
            $html     .= "<pre>Both passwords must match.</pre>";
            $hide_form = false;
        }

    } else {
        // What happens when the CAPTCHA was entered incorrectly
        $html     .= "<pre><br />The CAPTCHA was incorrect. Please try again.</pre>";
        $hide_form = false;
        return;
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

// Generate Anti-CSRF token
generateSessionToken();

?>

当参数g-recaptcha-response不等于hidd3n_valu3（或者http包头的User-Agent参数不等于reCAPTCHA）时，就认为验证码输入错误，反之则认为已经通过了验证码的检查。

 

 

 四，imopossible

<?php

if( isset( $_POST[ 'Change' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Hide the CAPTCHA form
    $hide_form = true;

    // Get input
    $pass_new  = $_POST[ 'password_new' ];
    $pass_new  = stripslashes( $pass_new );
    $pass_new  = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass_new  = md5( $pass_new );

    $pass_conf = $_POST[ 'password_conf' ];
    $pass_conf = stripslashes( $pass_conf );
    $pass_conf = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_conf ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass_conf = md5( $pass_conf );

    $pass_curr = $_POST[ 'password_current' ];
    $pass_curr = stripslashes( $pass_curr );
    $pass_curr = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_curr ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass_curr = md5( $pass_curr );

    // Check CAPTCHA from 3rd party
    $resp = recaptcha_check_answer(
        $_DVWA[ 'recaptcha_private_key' ],
        $_POST['g-recaptcha-response']
    );

    // Did the CAPTCHA fail?
    if( !$resp ) {
        // What happens when the CAPTCHA was entered incorrectly
        echo "<pre><br />The CAPTCHA was incorrect. Please try again.</pre>";
        $hide_form = false;
        return;
    }
    else {
        // Check that the current password is correct
        $data = $db->prepare( 'SELECT password FROM users WHERE user = (:user) AND password = (:password) LIMIT 1;' );
        $data->bindParam( ':user', dvwaCurrentUser(), PDO::PARAM_STR );
        $data->bindParam( ':password', $pass_curr, PDO::PARAM_STR );
        $data->execute();

        // Do both new password match and was the current password correct?
        if( ( $pass_new == $pass_conf) && ( $data->rowCount() == 1 ) ) {
            // Update the database
            $data = $db->prepare( 'UPDATE users SET password = (:password) WHERE user = (:user);' );
            $data->bindParam( ':password', $pass_new, PDO::PARAM_STR );
            $data->bindParam( ':user', dvwaCurrentUser(), PDO::PARAM_STR );
            $data->execute();

            // Feedback for the end user - success!
            echo "<pre>Password Changed.</pre>";
        }
        else {
            // Feedback for the end user - failed!
            echo "<pre>Either your current password is incorrect or the new passwords did not match.<br />Please try again.</pre>";
            $hide_form = false;
        }
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?>

加入了Check Anti-CSRF token 防御CSRF攻击，使用了PDO技术防御SQL注入，还必须输入就密码才能修改密码，暂时无法破解。

一条贤鱼的学习站
关注
  • 1
    点赞
  • 踩
  • 9
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
DVWA-master.zip
01-04
DVWA-master.zip
DVWA-master安装包
02-28
学习网络安全的利器
解决DVWA“reCAPTCHA key: Missing”
Fng的博客
10-16 1万+
配置DVWA时出现如下错误：reCAPTCHA key: Missing
DVWA的配置问题，红色状态解决------个人笔记
m0_61100491的博客
04-12 912
在使用DVWA的时候发现 function allow_url_include这个部分一直是飘红的状态。这两个文件在DVWA和phstudy中都有，但是在DVWA中配置是没有用的。一定要选择正确的文件目录 ，否则无论怎么修改都是错的。两个文件都是需要在phpstudy文件夹里配置的。如上图，是我的版本号，php-5.4.45-NTS。因为DVWA页面本质是用phpstudy启动的。第二个错误的key就是在这里配置的。在配置之前要先记住两个重要的文件。如图，是该文件的具体路径。注意，后边是带NTS的。
与reCAPTCHA的Spring集成
最佳 Java 编程
05-08 194
有时我们只需要CAPTCHA ，这是一个可悲的事实。 今天，我们将学习如何与reCAPTCHA集成。 因为主题本身并不是特别有趣和高级，所以我们将通过使用Spring Integration处理低级细节来过度设计（？）。 Google决定使用reCAPTCHA的决定取决于两个因素：（1）这是一种适度良好的CAPTCHA实施，内置了对视力障碍者的内置支持的体面图像；（2）将CAPTCHA外包...
DVWA安装教程（懂你的不懂·详细）
m0_67403013的博客
08-01 452
先自我介绍一下，小编13年上师交大毕业，曾经在小公司待过，去过华为OPPO等大厂，18年进入阿里，直到现在。深知大多数初中级java工程师，想要升技能，往往是需要自己摸索成长或是报班学习，但对于培训机构动则近万元的学费，着实压力不小。user与password一定要修改为root，这里能看到我们呢的key没有了，之后的实验可能要用到，我们需要补全，要不然稍后会有一个missing报错，且相关的一些实验没法启动，修改后保存。这个是不对的哦，这里已经On了，直接在根的上一级搜就好了。修改保存再次登录看看。...
DVWA 之 Insecure CAPTCHA（不安全的验证码）
RexHa的博客
10-03 1240
DVWA 不安全的验证码
DVWA reCAPTCHA key: Missing解决方法
热门推荐
 RBPi' Blog
04-24 4万+
编辑 dvwa/config/config.inc.php这个配置文件 $_DVWA[ 'recaptcha_public_key' ] = ''; $_DVWA[ 'recaptcha_private_key' ] = ''; key可以自己生成，地址是 https://www.google.com/recaptcha/admin/create 下面这个是我自己生成的，随便用 ...
DVWA——Insecure CAPTCHA
Fly_Mojito的博客
02-03 161
DVWA——Insecure CAPTCHA
DVWA通过教程之不安全的验证码 Insecure CAPTCHA
→_→
09-26 1333
关于验证码的还可学习下：浅谈“​​​验证码功能缺陷” Insecure CAPTCHA Insecure CAPTCHA，意思是不安全的验证码，CAPTCHA是Completely Automated Public Turing Test to Tell Computers and Humans Apart (全自动区分计算机和人类的图灵测试)的简称。但个人觉得，这一模块的内容叫做不安全的验证流程更妥当些，因为这块主要是验证流程出现了逻辑漏洞，谷歌的验证码表示不背这个锅。 一开始访问是这样的页面：
DVWA reCAPTCHA key: Missing
weixin_33743880的博客
09-19 1277
修改dvwa文件夹下文件config.inc.php change: $_DVWA[ 'recaptcha_public_key' ] = ' '; $_DVWA[ 'recaptcha_private_key' ] = ' '; into $_DVWA[ 'recaptcha_public_key' ] = '6LdK7xITAAzzAAJQTfL7fu6I-0aPl8KH...
你需要知道的添加Django后台验证码的方法
涛哥聊Python
02-23 444
点击蓝色字关注我！为了一定程度的降低被暴力破解的概率，增加一些服务的安全性，我们往往会给我们的服务增加验证码。今天给大家分享如何快速给django admin后台添加验证...
DVWA--Insecure CAPTCHA(不安全的验证码)（全难度）
wwxxee
02-20 586
DVWA–Insecure CAPTCHA(不安全的验证码) Insecure CAPTCHA，意思是不安全的验证码，CAPTCHA是Completely Automated Public Turing Test to Tell Computers and Humans Apart (全自动区分计算机和人类的图灵测试)的简称。 逻辑 这一模块的验证码使用的是Google提供reCAPTCHA服务，下图是验证的具体流程。 服务器通过调用recaptcha_check_answer函数检查用户输入的正确性。
【DVWA】--- 六、不安全的验证码(Insecure CAPTCHA)
qq_43168364的博客
05-31 606
Insecure CAPTCHA 目录 一、说明 由于该模块需要一点不健康的东西才可以访问这里就对它每一关的代码审计一下就行了。 二、Low级别 代码审计 相关函数 recaptcha_check_answer()函数：检查用户输入的正确性。 这一关我们只需要抓包改参数 二、medium级别 源码审计 相关函数 ...
DVWA安装过程
2201_75331136的博客
03-10 563
DVWA安装
1、在XAMPP中搭建DVWA
qq_55202378的博客
08-04 1334
DVWA XAMPP
phpstudy搭建dvwa（以及搭建dvwa问题解决）
h1825819493的博客
06-07 1325
这是因为与本地的mysql起了冲突，需要先在服务中停用本地的mysql，然后再小皮中开启mysql就可以启动了。①在phpStudy_64\phpstudy_pro\WWW\DVWA-master\config的目录下 将config.inc.php.dist去掉dist。②在 phpStudy_64\phpstudy_pro\WWW\DVWA-master\config 下的 config.inc.php中对密钥进行添加。这里要进行修改的是Extensions路径下的，而不是WWW下面的。
DVWA之Insecure Captcha
谢公子的博客
08-05 5357
Insecure CAPTCHA Insecure CAPTCHA，意思是不安全的验证码，CAPTCHA是Completely Automated Public Turing Test to Tell Computers and Humans Apart (全自动区分计算机和人类的图灵测试)的简称。但个人觉得，这一模块的内容叫做不安全的验证流程更妥当些，因为这块主要是验证流程出现了逻辑漏洞，谷歌...
【零基础DVWA安装教程】
m0_68563451的博客
03-11 186
下面提示我们需要on开起来，但这里有个问题，大多数人找的是 \DWVA-master\目录下的php.ini文件这个文件。这个是不对的哦，这里已经On了，直接在根的上一级搜就好了，注意看路径，是php版本号的文件夹。user与password一定要修改为root ，这里能看到我们呢的key没有了，之后的实验可能要用到，我们需要补全，要不然稍后会有一个missing报错，且相关的一些实验没法启动，修改后保存。下载好之后直接无脑安装（当然选盘是没问题的啦），按照好之后来测试一下是否成功。修改保存再次登录看看。
dvwa-master zip
最新发布
07-28
dvwa-master zip是一个开源的漏洞脆弱性应用程序，用于进行网络安全测试和漏洞扫描。 具体而言，dvwa-master zip是一个基于PHP和MySQL开发的靶场平台，旨在帮助用户了解和学习网络安全漏洞。它模拟了多种常见的Web应用程序漏洞，如SQL注入、XSS跨站脚本攻击、命令执行等，用户可以通过对这些漏洞进行测试和攻击来提高自己的网络安全意识和技能。 dvwa-master zip的安装非常简便，只需将其解压到服务器的Web目录下，并配置好数据库连接信息即可。一旦安装完成，用户就可以通过浏览器访问dvwa-master zip的前端界面，并开始进行安全测试和漏洞扫描。 dvwa-master zip提供了多个不同的安全级别，从易到难，供用户选择。在低级别中，漏洞和脆弱性的例子会更为简单和明显；而在高级别中，这些漏洞将会更加难以察觉和利用，需要用户具备更高的技术水平。 通过dvwa-master zip，用户可以模拟和测试真实的网络安全风险，学习如何防范和修复相关漏洞。它对于安全工程师、渗透测试人员、Web开发人员等具有较高的教育和培训价值。值得注意的是，dvwa-master zip仅用于合法的安全研究和学习目的，未经授权的攻击行为是不被允许的。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值