DVWA（暴力破解）

DVWA简介

需要Apache和MySql的集成环境，可以安装phpStudy,在phpStudy的WWW文件下搭建DWVA靶场。

DVWA默认的用户有5个，用户名密码如下（记住一个就可以了）：
admin/password
gordonb/abc123
smithy/password
1337/charley
pablo/letmein

DVWA乱码问题的解决办法：
到DVWA安装目录下 （…/WWW/DVWA/dvwa/includes）寻找文件dvwaPage.inc.php
打开这个文件，然后在全文查找charset=utf-8，将所有utf-8修改为gb2312。
注意：有好几处charset=utf-8，要全部修改成charset=gb2312。记得保存。
接下来再使用DVWA就不会乱码啦。

暴力破解（Brute Force）

准备工作

• Firefox
• Burpsuite
• 字典

low

浏览器设置代理，任意在输入框填写用户名和密码，用Burpsuite抓包，发送给intruder；

进行暴力破解,设置变量；

对两个变量分别导入字典破解，当然手动添加也是可以的，但合理的字典比较节省暴破时间；



对这两个变量进行破解后，发现有一对数据的长度不同于其他对数据，表明破解成功，现在将两个变量值输入输入框，结果显示用户名密码成功。

Medium

操作和low相同，只是low可以进行sql注入暴力破解，medium把其中关键字符给过滤了。

源码：

<?php

if( isset( $_GET[ 'Login' ] ) ) {
    // Sanitise username input
    $user = $_GET[ 'username' ];
    $user = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $user ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Sanitise password input
    $pass = $_GET[ 'password' ];
    $pass = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass = md5( $pass );

    // Check the database
    $query  = "SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    if( $result && mysqli_num_rows( $result ) == 1 ) {
        // Get users details
        $row    = mysqli_fetch_assoc( $result );
        $avatar = $row["avatar"];

        // Login successful
        echo "<p>Welcome to the password protected area {$user}</p>";
        echo "<img src=\"{$avatar}\" />";
    }
    else {
        // Login failed
        sleep( 2 );//
        echo "<pre><br />Username and/or password incorrect.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?> 

• mysqli_real_escape_string(connection,escapestring)：对输入的用户名与密码进行了转义，防止了利用单引号，双引号等参数构造进行SQL注入；
• sleep(2)：表示登陆失败时，延迟2s返回登录失败信息，这就造成了每一次爆破如果密码错误，进行下一次爆破要比之前Low级别的代码多上2s延迟。

High

输入用户名和密码，用Burpsuite抓包；

发现这次多了token限制，先来前端看看token有没有规律，在进一步分析；

试了几次，发现token值一直在变化。
源码：

 <?php

if( isset( $_GET[ 'Login' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Sanitise username input
    $user = $_GET[ 'username' ];
    $user = stripslashes( $user );
    $user = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $user ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Sanitise password input
    $pass = $_GET[ 'password' ];
    $pass = stripslashes( $pass );
    $pass = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass = md5( $pass );

    // Check database
    $query  = "SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    if( $result && mysqli_num_rows( $result ) == 1 ) {
        // Get users details
        $row    = mysqli_fetch_assoc( $result );
        $avatar = $row["avatar"];

        // Login successful
        echo "<p>Welcome to the password protected area {$user}</p>";
        echo "<img src=\"{$avatar}\" />";
    }
    else {
        // Login failed
        sleep( rand( 0, 3 ) );
        echo "<pre><br />Username and/or password incorrect.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

// Generate Anti-CSRF token
generateSessionToken();

?>

• Anti-CSRF token：每次登陆都会包含一个随机的user_token的值，用户每次登录时都要将- user_token一起提交。服务器收到请求后，会优先做user_token的检查，再进行sql查询；
• stripslashes：去除字符串中的反斜杠，若存在两个，则删一个；
  这关的重点是绕过token的限制，剩下操作和medium一样。