DVWA的CSRF全部等级解析

最新推荐文章于 2024-05-11 02:30:38 发布
最新推荐文章于 2024-05-11 02:30:38 发布
阅读量1.5k 收藏 8
点赞数 1
分类专栏： web安全学习 文章标签： dvwa csrf
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_39762423/article/details/106771733
版权

目录

0x00 介绍

0x01 low级别

0x02 mediu级别

0x03 high级别

0x04 impossible级别

0x00 介绍

DVWA中有很多账号，这些密码都是md5加密的，解密一下就可以了。因为涉及到两个账号，所以需要了解。

0x01 low级别

先更改一个账户的密码，然后抓包看一下：

可以看到提交的新密码和确认密码都在url的参数中，用的GET方法，有referer的验证。但是这里referer的验证并没有什么用。所以直接构造攻击链接：

http://127.0.0.1/DVWA/vulnerabilities/csrf/?password_new=123456&password_conf=123456&Change=Change

在另一个登录了别的用户的浏览器中访问这个连接，就可以发现可以成功的更改另一个浏览器中的用户的密码。
看一下源代码：

<?php

if( isset( $_GET[ 'Change' ] ) ) {
	// Get input
	$pass_new  = $_GET[ 'password_new' ];
	$pass_conf = $_GET[ 'password_conf' ];

	// Do the passwords match?
	if( $pass_new == $pass_conf ) {
		// They do!
		$pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
		$pass_new = md5( $pass_new );

		// Update the database
		$insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
		$result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

		// Feedback for the user
		$html .= "<pre>Password Changed.</pre>";
	}
	else {
		// Issue with passwords matching
		$html .= "<pre>Passwords did not match.</pre>";
	}

	((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

可以看到没有任何验证。

 

0x02 mediu级别

这里抓包删除referer，发现不能更改成功，说明referer验证在这里起了作用。
看一下源码比low级别多了一个验证：

	if( stripos( $_SERVER[ 'HTTP_REFERER' ] ,$_SERVER[ 'SERVER_NAME' ]) !== false ) {
		// Get input
		$pass_new  = $_GET[ 'password_new' ];
		$pass_conf = $_GET[ 'password_conf' ];

stripos函数有三个参数：（都是区分大小写的）
第一个参数是必需的，规定要搜索的字符串。
第二个参数是必需的，规定要查找的字符串。
第三个参数是可选的，规定要开始搜索的位置。所以这里是验证在http的referer头（HTTP_REFERER）中是否有host头和访问的主机名字（SERVER_NAME）。
referer头和host头的具体解释见：https://www.jianshu.com/p/91bf4e276210
简单来说host头是指定要请求的资源的IP（或者域名）+端口号。没有端口号则是默认的。
referer头是告诉服务器从哪里来的，包括协议、域名、端口、路径和参数。所以这里验证的是前一页的地址中有没有要访问的域名，所以需要把访问的文件名字改成是host的name。

在一个浏览器中提交修改密码的操作，抓包内容如下：

右键 Engagement---Generate CSRF POC，然后会生成一段html文档，将html中的内容复制到一个html文件中，在上面的请求中可以看到host是127.0.0.1，所以这个html文档的名字也是127.0.0.1。这个文档的内容如下：

这里面只有一个submit request标记的提交按钮，其他的信息都是隐藏的，点击这个submit按钮以后，就会提交这些信息修改密码的信息。
将这个127.0.0.1.html文档放在服务器中，在登陆了另一个账号的浏览器中访问这个文件，点击submit按钮以后，这个账户的密码就会被修改成23456。

 

0x03 high级别

源代码如下：

<?php

if( isset( $_GET[ 'Change' ] ) ) {
	// Check Anti-CSRF token
	checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

	// Get input
	$pass_new  = $_GET[ 'password_new' ];
	$pass_conf = $_GET[ 'password_conf' ];

	// Do the passwords match?
	if( $pass_new == $pass_conf ) {
		// They do!
		$pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
		$pass_new = md5( $pass_new );

		// Update the database
		$insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
		$result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

		// Feedback for the user
		$html .= "<pre>Password Changed.</pre>";
	}
	else {
		// Issue with passwords matching
		$html .= "<pre>Passwords did not match.</pre>";
	}

	((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

// Generate Anti-CSRF token
generateSessionToken();

?>

可以看到比low级别多了两个地方。
checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
generateSessionToken();
checkToken函数在/dvwa/includes/dvwaPage.inc.php的527行，这个函数验证用户端的token和服务器端的token是否一致。

generateSessionToken函数在/dvwa/includes/dvwaPage.inc.php的534行，这个函数用来生成新的token。

销毁原来的token，生成一个新的随机的。

总的来说，high级别的处理过程就是，用户访问这个页面的时候，服务器就会生成一个随机的token，当进行修改密码的操作的时候，服务器要验证客户端的token和服务器端的token是否一致，一致的话才能修改密码。

先正常操作一边修改密码，然后抓包，可以看到在url中自动生成了一个user_token：

所以造成攻击的重要一步就是获取到其他用户的token。
这里的绕过方法参考：https://www.freebuf.com/articles/web/203301.html

 

0x04 impossible级别

源代码：
 

<?php

if( isset( $_GET[ 'Change' ] ) ) {
	// Check Anti-CSRF token
	checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

	// Get input
	$pass_curr = $_GET[ 'password_current' ];
	$pass_new  = $_GET[ 'password_new' ];
	$pass_conf = $_GET[ 'password_conf' ];

	// Sanitise current password input
	$pass_curr = stripslashes( $pass_curr );
	$pass_curr = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_curr ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
	$pass_curr = md5( $pass_curr );

	// Check that the current password is correct
	$data = $db->prepare( 'SELECT password FROM users WHERE user = (:user) AND password = (:password) LIMIT 1;' );
	$data->bindParam( ':user', dvwaCurrentUser(), PDO::PARAM_STR );
	$data->bindParam( ':password', $pass_curr, PDO::PARAM_STR );
	$data->execute();

	// Do both new passwords match and does the current password match the user?
	if( ( $pass_new == $pass_conf ) && ( $data->rowCount() == 1 ) ) {
		// It does!
		$pass_new = stripslashes( $pass_new );
		$pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
		$pass_new = md5( $pass_new );

		// Update database with new password
		$data = $db->prepare( 'UPDATE users SET password = (:password) WHERE user = (:user);' );
		$data->bindParam( ':password', $pass_new, PDO::PARAM_STR );
		$data->bindParam( ':user', dvwaCurrentUser(), PDO::PARAM_STR );
		$data->execute();

		// Feedback for the user
		$html .= "<pre>Password Changed.</pre>";
	}
	else {
		// Issue with passwords matching
		$html .= "<pre>Passwords did not match or current password incorrect.</pre>";
	}
}

// Generate Anti-CSRF token
generateSessionToken();

?>

比high级别的多的是还需要输入当前密码。所以比较难造成攻击。

RrEeSsEeTt
关注
  • 1
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
DVWA之CSRF漏洞（详细）
qq_44720671的博客
07-26 1万+
CSRF简介 csrf全称为：Cross-site request forgery，是一种常见的web攻击。在场景中，攻击者会伪造一个请求（通常是一个链接），然后欺骗目标用户点击，用户一旦点击，攻击也就完成了。 与xss的区别：csrf是借助用户的权限完成攻击，攻击者并没有拿到权限；而xss是直接盗取用户权限去进行破坏。 更改难度： 点击dvwa security，选择难度，然后点击submit...
DVWA--CSRF详解
洋洋的小黑屋
01-04 2192
CSRF概念： CSRF跨站请求伪造，黑客诱导用户点击带有伪造请求（修改密码，转账，删除文章等高风险操作请求）链接后，利用未失效的用户认证信息，产生服务器验证请求通过，导致用户在不知名的情况下进行了转账等操作。 与XSS的区别： XSS是通过修改页面Javascript等代码后，发给用户从而实现盗取cookie信息，之后利用cookie进行登陆网站等操作。非法操作是黑客。 CSRF并没有盗取coo...
DVWA 之 CSRF
RexHa的博客
09-30 7337
CSRF，跨站域请求伪造，通常攻击者会伪造一个场景（例如一条链接），来诱使用户点击，用户一旦点击，黑客的攻击目的也就达到了，他可以盗用你的身份，以你的名义发送恶意请求。
2024年最全DVWA中CSRF高级_dvwa csrf 高级，2024年最新面试官必问的技术问题之一
2401_84296945的博客
05-11 913
在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。需要完整版PDF学习资源私我。
DVWA之CSRF
weixin_42075643的博客
02-20 695
CSRF：跨站点请求伪造（Cross—Site Request Forgery） 也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种冒充合法用户在当前登录或登录过的且登录信息尚未过期的Web浏览器或者应用程序上执行恶意的操作的攻击方法。跟跨站脚本（XSS）相比，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。 漏洞原理： 合法路人甲登录网站A，登录成功后，服务器返回一个存有用户登录信息的coo.
Dvwa之CSRF全级别学习笔记
Mbys_Lettuce的博客
09-27 269
CSRF，全称Cross-site request forgery，就是跨站请求伪造，指利用受害者尚未失效的身份认证信息，诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向服务器发送请求，从而完成非法操作（如转账、改密等）。本次直接使用low级别的还能攻击成功的原因是，我将恶意网站放在了该网站的服务器里，导致被攻击者访问时点击进入恶意网站，发出修改指令的文件头还是这个主机，所以才能试验成功，通常情况下可以通过上传漏洞将文件传入被攻击者网页中。本文为学习笔记，仅供学习！
pikachu，dvwa的csrf详细步骤
05-17
初学者可以参考
DVWA标靶安装和low等级暴力破解账号密码
最新发布
07-02
DVWA标靶安装和low等级暴力破解账号密码
DVWA学习笔记全等级
06-08
DVWA学习笔记全等级
DVWA靶场搭建与使用
09-02
DVWA分为多个安全性等级，从"Low"到"Impossible"，每个等级都对应一种或多种漏洞。你可以逐个尝试这些漏洞，理解它们的工作原理，并学习如何防范。 1. **SQL注入**：通过构造特定的查询字符串，尝试获取或修改...
DVWA-master.7z 压缩包
09-14
- 跨站请求伪造（CSRF）：攻击者利用用户的已登录状态，诱使用户进行非预期的操作。 - 文件包含漏洞：允许攻击者将外部文件内容包含到应用中，可能导致代码执行或信息泄露。 - 弱认证与会话管理：不安全的登录机制或...
DVWA靶场系列（二）—— CSRF（跨站请求伪造）
qq_45612828的博客
07-10 1579
DVWA靶场系列（二）—— CSRF（跨站请求伪造）
DVWA简介及靶场实战-CSRF跨站请求伪造
mmxhappy的专栏
01-23 1531
CSRF攻击的本质是重要操作的所有参数，都可以被攻击者猜测到，所以token值是必须的。观察以下源码，这里是添加了Anti-CSRF token机制，用户每次到改密页面的时候，服务器会返回一个随机token，向服务器发起请求需要提交token参数，而在服务器收到请求的时候，会优先检查token，只有token正确才会处理客户端请求。本质上，这样的逻辑代码设计本身就不合理，HTTP协议设计的初衷中，GET型请求就需要保证“幂等性”，即无论发出了多少次GET请求，和仅发出一次请求所产生的效果应该是相同的。
DVWA-CSRF(跨站请求伪造)
qq_45751902的博客
04-25 2416
目录CSRF(跨站请求伪造)简介安全级别：Low安全级别：Medium安全级别：High安全级别：Impossible CSRF(跨站请求伪造)简介 概念 CSRF（Cross—site request forgery），跨站请求伪造，是指利用受害者未失效的身份认证信息（cookie，会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下，以受害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法操作（如转账，改密等）。 CSRF与XSS的区别 CSRF属于业务逻辑漏洞
【DVWA系列】三、CSRF 跨站请求伪造（源码分析&漏洞利用）
Pluto.的博客
03-12 469
文章目录DVWACSRF 跨站请求伪造一、low 级别二、medium 级别三、high 级别 DVWA CSRF 跨站请求伪造 一、low 级别 无安全防护措施，是判断两次输入的密码是否相同 随便修改一下，观察到修改密码值提交到了url中（get型）： password_new=1&password_conf=1&Change=Change# 伪造一个网页，插入URL请求语句，修改密码为666，将它“修饰”一下： <html> <head> <t
DVWA——CSRF
weixin_51559599的博客
11-13 1154
这样解决了上种方法在请求中加入 token 的不便，同时，通过 XMLHttpRequest 请求的地址不会被记录到浏览器的地址栏，也不用担心 token 会透过 Referer 泄露到其他网站中去。可以在 HTTP 请求中以参数的形式加入一个随机产生的 token，并在服务器端建立一个拦截器来验证这个 token，如果请求中没有 token 或者 token 内容不正确，则认为可能是 CSRF 攻击而拒绝该请求。可以利用这一点漏洞，可以想办法在恶意网站的地址中添加带有 Web1 主机地址的字段。
DVWA-CSRF全级别教程
weixin_44716769的博客
09-08 3601
CSRF Low等级 查看源码 服务器收到修改密码的请求后，会检查参数password_new与password_conf是否相同，如果相同，就会修改密码，并没有任何的防CSRF机制（当然服务器对请求的发送者是做了身份验证的，是检查的cookie，只是这里的代码没有体现）。 构造链接 http://192.168.0.103/vulnerabilities/csrf/?password_new=zuowenyang&password_conf=zuowenyang&Change=Chang
DVWA实战篇-CSRF（跨站点请求伪造）
weixin_58660073的博客
06-27 867
Cross Site Request Forgery (CSRF) CSRF漏洞介绍 CSRF跨站点请求伪造(Cross—Site Request Forgery)，跟XSS攻击一样，存在巨大的危害性，你可以这样来理解： 攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。 如下：其中Web A为存在CSRF漏洞的网站，W...
DVWA系列——CSRF
weixin_49340699的博客
11-19 285
NVWA系列——CSRF CSRF跨站伪造请求介绍 CSRF，全称Cross-site request forgery, 翻译过来就是跨站请求伪造，是指利用受害者尚未失 效的身份认证信息(cookie、 会话等)，诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向(身份认证信息所对应的)服务器发送请求，从而完成非法操作 (如转账、改密等)。CSRF 与XSS最大的区别就在于，CSRF并没有盗取ookie而是直接利用 漏洞利用 打开NVWA这里CSRF是一个修改密码的界面 在
DVWA靶场CSRF
10-19
DVWA是一个用于测试Web应用程序漏洞的靶场，其中包括了CSRF漏洞的测试。CSRF漏洞的形成原因主要是由于Web应用程序没有充分验证请求来源的问题。攻击者可以构造一个恶意网站，在其中包含一个发送CSRF请求的链接或表单，当用户访问这个网站时，浏览器会自动发送CSRF请求到被攻击的网站，从而实现攻击。在DVWA靶场中，可以通过构造恶意链接或表单来模拟CSRF攻击，从而测试Web应用程序的安全性。在引用中提供了两个链接，其中一个是可以发生CSRF攻击的，另一个则需要使用user_token进行验证。为了防止CSRF攻击，Web应用程序需要对请求来源进行充分验证，例如使用随机生成的token进行验证。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值