DVWA-跨站请求伪造（CSRF）

跨站请求伪造

什么是CRSF

CSRF，全称Cross-site request forgery，翻译过来就是跨站请求伪造，是指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法操作（如转账、改密等

）。

low等级

1. 进入页面发现是修改密码的界面，当我们输入密码进行修改时，观察url发现是get请求

2. 因为是get请求，我们可将链接进行复制；直接在链接里修改内容，将密码进行修改；然后将链接复制到同浏览器下打开发现密码修改成功

3. 在密码爆破界面进行登录，查看密码是否修改成功

而在真实地攻击环境中，我们通常是给受害者发送一个链接，而在正常的情况下我们通常不会点击一个很长的看起来就不正常的链接，这个时候我们就需要好好学习社会工程学，学会利用人们的心理来达到我们的目的，诱使他们点击我们构造的链接通常情况下会把长链接构造成一个短链接，这个时候我们可以利用网上很多在线工具）
我们也可以通过构造一个页面。
修改密码的链接重定向到一个自己写的一个错误页面，用户点击之后以为出错了，实际已经执行了恶意代码。

<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Get input
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

    // Do the passwords match?
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update the database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?> 

发现代码只是检测Spass_new和Spass_conf是否相同（也就是两次输入的密码是否相同），然后使用mysql_ReaL_escaoe_String函数进行了过滤sql注入，然后就执行sql来修改密码。如此没有对referer的判断便导致了csrf漏洞。

Medium等级

1. 再次使用low等级中修改密码的过程，原页面修改密码成功但是复制的链接修改密码失败

2. 使用Burp抓包查看，发现Medium级别的代码在Low级别的基础上，加上了对用户请求头的中的Referer字段进行验证。即用户的请求头中的Referer字段必须包含了服务器的名字。当我们再打开另一个页面，在顶部URL中自己输入如下的URL时，它会报错，提示你Http Referer字段没有定义索引（复制url到新建的页面）

Referer: http://192.168.16.135/dv/vulnerabilities/csrf/?password_new=&password_conf=&Change=Change

3. 我们可以自己在复制的链接的代码中加一个Referer字段，然后值只要设置成包含了主机头就行了因为中级别通过Referer进行过滤，要求源地址要一致，从Referer中验证是否和host一致。如果一致则通过，不一致则不通过。

4. 那么我们把地址栏抓到的数据包发送给重发器，把在页面数据包中的referer复制过来，然后查看结果。

High等级

<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

    // Do the passwords match?
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update the database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

// Generate Anti-CSRF token
generateSessionToken();

?>

http://192.168.16.135/dv/vulnerabilities/csrf/?password_new=123&password_conf=123&Change=Change&user_token=51650c0d81f67fd9c1a5bd7ba83ff17b#输入相关的内容时地址带入了token，用户每次访问更改密码页面时，服务器会返回一个随机的token，之后每次向服务器发起请求，服务器会优先验证token，如果token正确，那么才会处理请求。

所以我们在发起请求之前需要获取服务器返回的user_token，利用user_token绕过验证。可以安装burpsuit的CSRF Token Tracker插件可以直接绕过user_token验证

使用BP抓修改密码的包，将token值复制下来，

进入插件之后添加主机和名（名就是token的名字，这里是user_token），还有抓取到的token值也需要添加上去

将抓到的包发到重发器，点击send，插件中的token值会进行刷新。