DVWA-04-CSRF

最新推荐文章于 2024-08-07 19:39:11 发布
最新推荐文章于 2024-08-07 19:39:11 发布
阅读量118 收藏
点赞数
分类专栏： DVWA 文章标签： 安全 服务器 ajax跨域问题 php
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43198291/article/details/114131442
版权

目录

1.原理介绍

2.实验

2.1 LOW

2.2Medim

2.3 High

2.4Impossible

1.原理介绍

CSRF(Cross-site request forgery)跨站请求伪造，也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF

原理图

关键处

受害者

1.登录受信任网站A，并在本地生成Cookie

2.在不登出A的情况下，访问危险网站B

防御

1.生成token值

2.验证码

3.验证HTTP Referer字段

4.验证原密码

2.实验

 

2.1 LOW

源码分析

<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Get input
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

    // Do the passwords match?
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update the database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

变量分析

$GLOBALS：引用全局作用域中可用的全部变量（一个包含了全部变量的全局组合数组。变量的名字就是数组的键），$GLOBALS在PHP代码中任何地方总是可用的

注：$GLOBALS['var']是外部的全局变量本身，而global $var是外部$var的同名引用或者指针，也就是说global在函数产生一个指向函数外部变量的别名变量，而不是真正的函数外部变量，而$GLOBALS[]确确实实调用的是外部的变量，函数内外会始终保持一致

函数分析：

  • mysqli_real_escape_string(connection,escapestring);，根据当前连接的字符集，对于 SQL 语句中的特殊字符进行转义（（\x00、\n、\r 、\、'、"、\x1a））
connection必需。规定要使用的 MySQL 连接。
escapestring必需。要转义的字符串。编码的字符是 NUL（ASCII 0）、\n、\r、\、'、" 和 Control-Z。
  • is_object ( mixed $var ) : bool，如果 var 是一个 object 则返回 true，否则返回 false。检测变量是否是一个对象

源码分析：

通过GET方法，获取旧密码和新密码，对用户输入的两个密码进行判断，看是否相等。不相等就提示密码不匹配，相等的话，就使用mysqli_real_escape_string函数去转义一些字符，如果不是的话输出错误。然后再用md5加密

利用漏洞

我们随便在内容框里输入点东西，会有一个连接，如果我们将这个连接复制下来，将参数修改为相等的，然后发送给受害者，受害者也同样处于登陆状态

比如http://192.168.31.51/DVWA/vulnerabilities/csrf/?password_new=234&password_conf=234&Change=Change#，受害者打开这个连接密码就会修改成功。

 

2.2Medim

<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Checks to see where the request came from
    if( stripos( $_SERVER[ 'HTTP_REFERER' ] ,$_SERVER[ 'SERVER_NAME' ]) !== false ) {
        // Get input
        $pass_new  = $_GET[ 'password_new' ];
        $pass_conf = $_GET[ 'password_conf' ];

        // Do the passwords match?
        if( $pass_new == $pass_conf ) {
            // They do!
            $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
            $pass_new = md5( $pass_new );

            // Update the database
            $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
            $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

            // Feedback for the user
            echo "<pre>Password Changed.</pre>";
        }
        else {
            // Issue with passwords matching
            echo "<pre>Passwords did not match.</pre>";
        }
    }
    else {
        // Didn't come from a trusted source
        echo "<pre>That request didn't look correct.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

对比：

与LOW级别的相比，多了一个if( stripos( $_SERVER[ 'HTTP_REFERER' ] ,$_SERVER[ 'SERVER_NAME' ]) !== false ) 判断，加上了对用户请求头中的Referer字段进行验证

函数分析：

stripos(string,find,start)

查找字符串在另一字符串中第一次出现的位置（不区分大小写），如果没有找到字符串则返回 FALSE。

//查找 "php" 在字符串中第一次出现的位置：

<?php
echo stripos("You love php, I love php too!","PHP");
?>

//结果 9

改变代码分析：

用户的请求头中的Refer字段必须包含了服务器的名字。

HTTP Referer字段，“HTTPReferer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器我是从哪个页面链接过来的，服务器籍此可以获得一些信息用于处理。”

漏洞利用

如果我们还像第一次那样做的话，就会提示错误

这个时候，就是拿出身体burpsuite来做代理测试的时候了。

可以看到正常操作的话会有refer值

打开另一个连接后，输入url，没有refer

我们可以自己添加Refer，只要包含主机头192.168.31.51就可以，如果是域名，需要包含域名，看下图，我们已经成功绕过Referer

 

2.3 High

看代码

<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

    // Do the passwords match?
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update the database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

// Generate Anti-CSRF token
generateSessionToken();

?>

与Low等级比较增加的代码

 // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );


// Generate Anti-CSRF token
generateSessionToken();

代码分析：

High级别加入了Anti-CSRF token机制，用户每次访问修改密码的页面时，服务器都会返回一个随机的token，当浏览器向服务器发起请求是，需要提交token参数，而服务器在收到请求时，会优先检查token，只有token正确，才会处理客户端的请求。

增加token验证，比验证refer更加的安全。

在Get请求中，我们可以在url中看到token值

复现攻击

因为加入了token，所以我们就需要获取token，怎么获取到token是需要解决的问题。

想获取token，就必须利用用户的cookie值去访问修改密码的页面，然后截取服务器返回的token值，才能构造url进行csrf攻击

参考网上很多人的资料，说结合XSS进行，我在想既然可以使用XSS漏洞进入数据库了，我们还在这csrf搞啥，哈哈哈哈，不过确实是一种办法。

这里还涉及到同源策略和跨域的操作，可自行百度了解。

由于跨域是不能实现的，所以我们要将攻击代码注入到目标服务器中，利用High级别的XSS漏洞协助获取Anti-CSRF token（因为这里的XSS注入有长度限制，不能够注入完整的攻击脚本，所以只获取Anti-CSRF token）。

 <iframe src="../csrf" onload=alert(frames[0].document.getElementsByName('user_token')[0].value)> 

 

2.4Impossible

<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $pass_curr = $_GET[ 'password_current' ];
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

    // Sanitise current password input
    $pass_curr = stripslashes( $pass_curr );
    $pass_curr = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_curr ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass_curr = md5( $pass_curr );

    // Check that the current password is correct
    $data = $db->prepare( 'SELECT password FROM users WHERE user = (:user) AND password = (:password) LIMIT 1;' );
    $data->bindParam( ':user', dvwaCurrentUser(), PDO::PARAM_STR );
    $data->bindParam( ':password', $pass_curr, PDO::PARAM_STR );
    $data->execute();

    // Do both new passwords match and does the current password match the user?
    if( ( $pass_new == $pass_conf ) && ( $data->rowCount() == 1 ) ) {
        // It does!
        $pass_new = stripslashes( $pass_new );
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update database with new password
        $data = $db->prepare( 'UPDATE users SET password = (:password) WHERE user = (:user);' );
        $data->bindParam( ':password', $pass_new, PDO::PARAM_STR );
        $data->bindParam( ':user', dvwaCurrentUser(), PDO::PARAM_STR );
        $data->execute();

        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match or current password incorrect.</pre>";
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?>

可以看到，在high的等级下，加入了确认原来密码的策略

// Get input
    $pass_curr = $_GET[ 'password_current' ];
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

而我们并不知道原来的密码，所以这里暂时不存在CSRF了。

 

 

 

 

 

 

 

 

 


 

 

Asiaforest
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
2019-3-13 dvwa学习(12)--Cross Site Request Forgery (CSRF)，跨站点请求伪造
weixin_42555985的博客
03-13 572
Cross Site Request Forgery (CSRF)，跨站点请求伪造，它会让用户在当前经过身份验证的Web应用程序上执行攻击者预订的操作。CSRF攻击专门针对状态更改请求，而不是数据盗窃，因为攻击者无法看到对伪造请求的响应。恶意代码会通过电子邮件或伪装网站，甚至直接链接形式发送给用户，诱骗Web应用程序的用户执行攻击者设定的操作。 如果受害者是普通用户，成功的CSRF攻击会迫使用户执...
【WEB安全】PHP靶场实战分析——DVWA
真哥的博客
12-20 3830
文章目录前言一、实战前的准备：1.dvwa靶场安装2.代码审计工具介绍2.1.seay代码审计工具的介绍2.2.rips 审计工具介绍二、DVWA通关讲解1. brute force 暴力破解low：Medium：High：impossible：2. Command Injection（命令行注入）low：Medium：High：3. CSRF（跨站请求伪造）low：Medium：High：4. File Inclusion（文件包含）low：Medium：High：impossible：5. File U
DVWA-—【CSRF】漏洞利用
qq_34914659的博客
05-20 1082
1.漏洞介绍 CSRF跨站点请求伪造(Cross—Site Request Forgery)，攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。https://www.freebuf.com/articles/web/253838.htmlCSRF和XSS的最大的区别在于，CSRF并没有盗取cookie而是直接利用。 下图...
DVWA-CSRF
ahannn的博客
02-15 3026
欢迎各位指出错误以及补充有关知识，这一系列用于个人学习记录,在记录DVWA的同时也记录所用的相关知识，尽可能详细写，如果能帮到和我一样的安全小白我很荣幸 文章目录 一 CSRF是什么？ 二 CSRF防御与攻击原理 三 DVWA分析 1.low 2.medium 3.high 总结 一、CSRF是什么？ CSRF 跨站点请求伪造(Cross—Site Request Forgery) 攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求...
DVWA-master.zip
01-04
除了上述常见漏洞外，DVWA还包括如“弱口令”、“CSRF（跨站请求伪造）”、“不安全的直接对象引用”等其他安全挑战，这些都为学习者提供了全面的安全训练。 7. **实践与挑战** 通过DVWA，你可以模拟黑客的攻击...
DVWA-master.7z 压缩包
09-14
- 跨站请求伪造（CSRF）：攻击者利用用户的已登录状态，诱使用户进行非预期的操作。 - 文件包含漏洞：允许攻击者将外部文件内容包含到应用中，可能导致代码执行或信息泄露。 - 弱认证与会话管理：不安全的登录机制或...
DVWA-master安装包
02-28
3. **跨站请求伪造（CSRF）**：攻击者诱导用户执行非预期的操作，比如更改密码或转账，因为请求看起来像是来自用户自己。 4. **文件包含漏洞**：当程序允许用户指定要加载的文件时，不正确的验证可能导致恶意文件被...
鸿蒙系统开发【加解密算法库框架】安全
2301_76813281的博客
08-02 934
本示例使用@ohos.security.cryptoFramework相关接口实现了对文本文件的加解密、签名验签操作。
供应链安全：黑客攻击 Nimble 包
weixin_47075747的博客
08-04 789
在软件开发领域，包管理器对于管理依赖项和简化开发过程至关重要。但是，这些工具并非对漏洞免疫。今天，我们将深入研究一个有趣的案例研究，了解我如何利用 Nimble 包管理器的漏洞来接管包并可能危害系统。系好安全带；这将是一次技术之旅。
发送邮箱调用接口时需要注意哪些安全事项？
DengHua2203的博客
08-02 422
发送邮箱调用接口时，确保安全性是一个复杂而重要的任务。通过以上措施，可以显著提高接口的安全性。AokSend，发送邮箱调用接口，API与SMTP无缝对接，一键触发，邮件秒达，营销快人一步！
乐凡三防平板|车载三防平板电脑：为行车安全提供保障
livefan的博客
08-05 373
1.提升行车安全：车载三防平板电脑可以实时显示车辆信息，为驾驶人员进行导航指引和路况提醒等，帮助驾驶人员更好地掌握行车情况，为行车安全提供重要保障。3.便于安装与使用：车载三防平板电脑设计紧凑、安装简便，有着多种安装固定方式，几乎可以匹配任意车载工作场所，比如叉车、堆高机、汽车、卡车等。1.防水防尘：车载三防平板电脑具备防水、防尘的性能，可以在恶劣的环境中保持正常工作。2.强大功能集成：车载三防平板电脑的功能多样，不仅具备导航、音乐、蓝牙等基本功能，还可灵活拓展NFC、航空插头接口等，以满足不同工作需求。
访问网站显示不安全怎么办？
joySSL_的博客
08-02 719
如果您还在使用http协议，那基本上所有的主流浏览器都是都不安全提示需要给网站安装部署一个SSL证书，有预算的话可以使用付费SSL证书，没有预算的话免费SSL证书也可以实现HTTPS。网站的SSL证书过期，或者域名不匹配，解决方式是点击右上角锁头标志查看证书，检查和更新证书，确保它有效、完整。网站被举报含有钓鱼、欺诈等非法问题，解决方法是联系报告方，证明网站已安全，同时全面检查网站，清除隐患。访问网站时显示“不安全”，针对不同的原因有不同的解决方式，下面是常见的几种原因和对应的解决办法。
鸿蒙系统开发【ASN.1密文转换】安全
2301_76813281的博客
08-02 722
本示例对使用@kit.CryptoArchitectureKit加密后的密文格式进行转换。@kit.CryptoArchitectureKit加密后的密文格式默认为以base64显示的ASN.1格式问题，通过对密文进行base64变换后得到字符数组，以16进制数字显示，再此基础上进行密文格式转换，从ASN.1格式转换为c1c3c2格式的裸密文，再以c1c3c2格式的裸密文进行解密，以验证密文转换的正确性。
Linux安全与高级应用（四）深入探索MySQL数据库：安装、管理与安全实践
最新发布
洛秋的博客
08-07 1057
Linux：作为操作系统，提供稳定的运行环境。Apache：作为Web服务器，处理HTTP请求。MySQL：作为数据库管理系统，存储和管理数据。：作为脚本语言，生成动态网页。LAMP平台的优势在于其成本低廉、可定制性强、易于开发、方便易用且安全稳定。这使得LAMP成为许多企业和开发者的首选平台。通过以上步骤，我们完成了LAMP平台的部署及其主要组件的配置和测试。LAMP平台的搭建不仅为Web开发提供了一个强大的环境，同时也展现了其在成本和效率上的优势。
AI技术如何重塑企业EHS安全健康环保体系，附实践案例
云说智数的博客
08-06 567
在某大型电子工厂中，AI系统通过分析生产数据和环境监测数据，成功预测了一起可能的化学泄漏事故，并及时通知了管理人员采取措施，避免了潜在的环境污染和人员伤亡。某化工厂在发生泄漏事故后，利用AI系统对事故进行了深入分析，不仅快速定位了泄漏源，还发现了操作规程中的缺陷，并据此更新了操作手册，提高了整体的安全管理水平。通过这些实际应用案例，我们可以看到AI技术在EHS管理中的应用潜力和实际效果，它不仅提高了风险管理的效率和准确性，还增强了企业对复杂EHS挑战的应对能力。
Android网络安全：如何防止中间人攻击
陆业聪
08-04 829
本文介绍了在Android开发中预防中间人攻击的方法，包括使用HTTPS加密通信、实施证书锁定、遵循SSL/TLS最佳实践和验证服务器主机名。这些措施有助于保护用户数据安全，提高应用程序安全性。
应急响应-主机安全之系统及进程排查相关命令（Linux操作系统-初级篇）
关注网络安全、云原生安全
08-07 912
本文介绍下在应急响应过程中，linux系统下排查系统、进程、服务可能用到的命令，有些命令选项很多，读者可以仅看常用选项。不涉及内存、进程注入、rootkit等高级攻击的排查。常用-n参数，n为展示的数量systemctl命令 是系统服务管理器指令，它实际上将 service 和 chkconfig 这两个命令组合到一起。任务旧指令新指令使某服务自动启动使某服务不自动启动检查服务状态systemctl status httpd.service （服务详细信息）
网络安全数字化转型
2401_84466325的博客
08-04 784
从狭义层面来看，是指依托先进的数据处理技术，包括数据采集的全面性、数据治理的规范性、数据分析的深入性、数据关联的精准性以及数据应用的有效性，来直接应对并解决当前网络安全领域所面临的挑战与问题。这一过程不仅为网络安全工作的决策提供了坚实的数据基础与科学依据，还显著区别于传统网络安全模式——传统告警信息已不再是主导分析的核心数据，而是转变为辅助决策的参考信息，体现了网络安全分析重心的深刻转变与升级。而从广义视角审视，数字化网络安全则是围绕数据这一核心要素，构建了一个动态优化的安全生态体系。
DVWA-mater是什么
07-13
DVWA-master是一个开源的漏洞测试...通过DVWA-master，用户可以模拟和测试各种Web应用程序漏洞，包括SQL注入、跨站脚本（XSS）、跨站请求伪造（CSRF）等等。这样用户可以通过实践来提高对Web应用程序安全的理解和技能。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值