DVWA靶场Insecure CAPTCHA(不安全验证)漏洞所有级别通关教程及源码审计

H轨迹H2025-01-04 10:57

Insecure CAPTCHA(不安全验证)

Insecure CAPTCHA（不安全验证） 漏洞指的是在实现 CAPTCHA（完全自动化公共图灵测试区分计算机和人类）机制时，未能有效保护用户输入的验证信息，从而使得攻击者能够绕过或破解该验证机制。这类漏洞通常出现在网络应用程序中，目的是防止自动化脚本（如机器人）对网站进行滥用，CAPTCHA全称为Completely Automated Public Turing Test to Tell Computers and Humans Apart，中文名字是全自动区分计算机和人类的图灵测试

low

正常修改会报错

重新修改密码并抓包发送到重放器

将step=1 修改为step=2，发包

修改成功

源码审计

并没有什么过滤，设置了step=2 才能修改，使用**mysqli_real_escape_string**可能SQL注入；使用了不安全的md5加密算法

php 复制代码 
<?php

if (isset($_POST['Change']) && ($_POST['step'] == '1')) { 
    // Step 1: 用户提交了第一个表单，并且是第一步
    $hide_form = true; // 标识隐藏CAPTCHA表单

    // 获取用户输入的新密码和确认密码
    $pass_new  = $_POST['password_new'];
    $pass_conf = $_POST['password_conf'];

    // 通过第三方服务检查CAPTCHA
    $resp = recaptcha_check_answer(
        $_DVWA['recaptcha_private_key'],
        $_POST['g-recaptcha-response']
    );

    // CAPTCHA验证未通过
    if (!$resp) {
        $html     .= "<pre><br />The CAPTCHA was incorrect. Please try again.</pre>";
        $hide_form = false; // 如果错误，不隐藏表单
        return;
    } else {
        // CAPTCHA验证通过，检查两次输入的密码是否匹配
        if ($pass_new == $pass_conf) {
            // 如果匹配，让用户确认更改
            $html .= "
                <pre><br />You passed the CAPTCHA! Click the button to confirm your changes.<br /></pre>
                <form action=\"#\" method=\"POST\">
                    <input type=\"hidden\" name=\"step\" value=\"2\" />
                    <input type=\"hidden\" name=\"password_new\" value=\"{$pass_new}\" />
                    <input type=\"hidden\" name=\"password_conf\" value=\"{$pass_conf}\" />
                    <input type=\"submit\" name=\"Change\" value=\"Change\" />
                </form>";
        } else {
            // 两次输入的密码不匹配
            $html     .= "<pre>Both passwords must match.</pre>";
            $hide_form = false; // 不隐藏表单，提示用户重新输入
        }
    }
}
if (isset($_POST['Change']) && ($_POST['step'] == '2')) { 
    // Step 2: 用户提交确认后的表单，进行更改操作
    $hide_form = true; // 隐藏CAPTCHA表单

    // 获取用户输入的新密码和确认密码
    $pass_new  = $_POST['password_new'];
    $pass_conf = $_POST['password_conf'];

    // 确认两个密码匹配
    if ($pass_new == $pass_conf) {
        // 对特殊字符进行转义，防止SQL注入
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass_new) : "");

        // 将密码进行md5加密（注：md5已不再安全，实际应用中应使用更安全的加密方式）
        $pass_new = md5($pass_new);

        // 更新数据库中当前用户的密码
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"], $insert) or die('<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>');

        // 给用户反馈密码已更改
        $html .= "<pre>Password Changed.</pre>";
    } else {
        // 两次输入的密码不匹配
        $html .= "<pre>Passwords did not match.</pre>";
        $hide_form = false; // 提示错误，不隐藏表单
    }

    // 关闭数据库连接
    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
?>

medium

同样修改后抓包

这里查看源码可以发现设置了passed_captcha验证

将step=1 修改为step=2 ，并且添加passed_captcha=true

修改成功

源码审计

与low级别差不多，多了一个设置passed_captcha=true才能正常修改

php 复制代码 
?php

if (isset($_POST['Change']) && ($_POST['step'] == '1')) {
    // 第一步：用户提交了表单且处于步骤1
    $hide_form = true; // 标识隐藏CAPTCHA表单

    // 获取用户输入的新密码和确认密码
    $pass_new = $_POST['password_new'];
    $pass_conf = $_POST['password_conf'];

    // 从第三方验证CAPTCHA
    $resp = recaptcha_check_answer(
        $_DVWA['recaptcha_private_key'],
        $_POST['g-recaptcha-response']
    );

    // CAPTCHA验证未通过
    if (!$resp) {
        $html .= "<pre><br />The CAPTCHA was incorrect. Please try again.</pre>";
        $hide_form = false; // 如果错误，不隐藏表单
        return;
    } else {
        // CAPTCHA验证通过，检查两次输入的密码是否匹配
        if ($pass_new == $pass_conf) {
            // 密码匹配，显示下一步
            $html .= "
                <pre><br />You passed the CAPTCHA! Click the button to confirm your changes.<br /></pre>
                <form action=\"#\" method=\"POST\">
                    <input type=\"hidden\" name=\"step\" value=\"2\" />
                    <input type=\"hidden\" name=\"password_new\" value=\"{$pass_new}\" />
                    <input type=\"hidden\" name=\"password_conf\" value=\"{$pass_conf}\" />
                    <input type=\"hidden\" name=\"passed_captcha\" value=\"true\" />
                    <input type=\"submit\" name=\"Change\" value=\"Change\" />
                </form>";
        } else {
            // 两次输入的密码不匹配
            $html .= "<pre>Both passwords must match.</pre>";
            $hide_form = false; // 不隐藏表单，提示用户重新输入
        }
    }
}
if (isset($_POST['Change']) && ($_POST['step'] == '2')) {
    // 第二步：用户提交确认后的表单
    $hide_form = true; // 隐藏CAPTCHA表单

    // 获取用户输入的新密码和确认密码
    $pass_new = $_POST['password_new'];
    $pass_conf = $_POST['password_conf'];

    // 确保用户完成了第一步
    if (!$_POST['passed_captcha']) {
        $html .= "<pre><br />You have not passed the CAPTCHA.</pre>";
        $hide_form = false;
        return;
    }
    // 检查两次输入的密码是否匹配
    if ($pass_new == $pass_conf) {
        // 匹配进行密码更新
        // 转义特殊字符，防止SQL注入
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass_new) : "");
        
        // 使用md5加密密码（注意：md5不够安全，实际应用中应使用更好的加密方法）
        $pass_new = md5($pass_new);

        // 更新数据库中的用户密码
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"], $insert) or die('<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>');

        // 反馈用户密码已更改
        $html .= "<pre>Password Changed.</pre>";
    } else {
        // 两次输入的密码不匹配
        $html .= "<pre>Passwords did not match.</pre>";
        $hide_form = false;
    }
    // 关闭数据库连接
    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
?>

high

定位登录框，发现这么一处注释

php 复制代码 
 **DEV NOTE**   Response: 'hidd3n_valu3'   &&   User-Agent: 'reCAPTCHA'   **/DEV NOTE**

结合源码得知需要g-recaptcha-response=hidd3n_valu3 并且 User-Agent: 'reCAPTCHA'

同样修改后抓包

发送包并修改参数

修改成功

源码审计

设置了请求头：reCAPTCHA ； g-recaptcha-response = hidd3n_valu3，以及token使会话更有安全性，还利用CSRF令牌使的更安全

php 复制代码 
<?php

if (isset($_POST['Change'])) {
    // 用户提交了表单，隐藏CAPTCHA表单
    $hide_form = true;

    // 获取用户输入的新密码和确认密码
    $pass_new = $_POST['password_new'];
    $pass_conf = $_POST['password_conf'];

    // 验证CAPTCHA
    $resp = recaptcha_check_answer(
        $_DVWA['recaptcha_private_key'],
        $_POST['g-recaptcha-response']
    );

    // 检查CAPTCHA验证是否通过或符合内置绕过条件
    if (
        $resp || 
        (
            $_POST['g-recaptcha-response'] == 'hidd3n_valu3'
            && $_SERVER['HTTP_USER_AGENT'] == 'reCAPTCHA'
        )
    ) {
        // CAPTCHA验证通过，检查两次输入的密码是否匹配
        if ($pass_new == $pass_conf) {
            // 转义输入以防止SQL注入攻击
            $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass_new) : "");
            
            // 使用md5加密密码（注意：不推荐在生产环境中使用）
            $pass_new = md5($pass_new);

            // 更新数据库用户密码
            $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "' LIMIT 1;";
            $result = mysqli_query($GLOBALS["___mysqli_ston"], $insert) or die('<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>');

            // 返回用户的反馈信息
            $html .= "<pre>Password Changed.</pre>";
        } else {
            // 如果密码不匹配
            $html .= "<pre>Both passwords must match.</pre>";
            $hide_form = false;
        }
    } else {
        // CAPTCHA输入错误时的响应
        $html .= "<pre><br />The CAPTCHA was incorrect. Please try again.</pre>";
        $hide_form = false;
        return;
    }

    // 关闭数据库连接
    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

// 生成反CSRF攻击的令牌
generateSessionToken();
?>

impossible

源码审计

结合反CSRF令牌和CAPTCHA，提高安全性；并且使用PDO和参数绑定防止SQL注入。

php 复制代码 
<?php
if (isset($_POST['Change'])) {
    // 检查反CSRF令牌，确保请求的合法性
    checkToken($_REQUEST['user_token'], $_SESSION['session_token'], 'index.php');

    // 隐藏CAPTCHA表单
    $hide_form = true;

    // 获取用户输入的新密码，并移除转义字符
    $pass_new = $_POST['password_new'];
    $pass_new = stripslashes($pass_new);
    $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass_new) : "");
    $pass_new = md5($pass_new); // 对新密码进行MD5加密

    // 获取用户输入的确认密码，并移除转义字符
    $pass_conf = $_POST['password_conf'];
    $pass_conf = stripslashes($pass_conf);
    $pass_conf = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass_conf) : "");
    $pass_conf = md5($pass_conf); // 对确认密码进行MD5加密

    // 获取用户输入的当前密码，并移除转义字符
    $pass_curr = $_POST['password_current'];
    $pass_curr = stripslashes($pass_curr);
    $pass_curr = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass_curr) : "");
    $pass_curr = md5($pass_curr); // 对当前密码进行MD5加密

    // 使用第三方功能验证CAPTCHA
    $resp = recaptcha_check_answer(
        $_DVWA['recaptcha_private_key'],
        $_POST['g-recaptcha-response']
    );

    // 如果CAPTCHA验证失败
    if (!$resp) {
        // 反馈信息：CAPTCHA错误
        $html .= "<pre><br />The CAPTCHA was incorrect. Please try again.</pre>";
        $hide_form = false;
    } else {
        // 检查当前密码是否正确
        $data = $db->prepare('SELECT password FROM users WHERE user = (:user) AND password = (:password) LIMIT 1;');
        $data->bindParam(':user', dvwaCurrentUser(), PDO::PARAM_STR);
        $data->bindParam(':password', $pass_curr, PDO::PARAM_STR);
        $data->execute();

        // 检查新密码是否匹配，且当前密码是否正确
        if (($pass_new == $pass_conf) && ($data->rowCount() == 1)) {
            // 更新数据库中的用户密码
            $data = $db->prepare('UPDATE users SET password = (:password) WHERE user = (:user);');
            $data->bindParam(':password', $pass_new, PDO::PARAM_STR);
            $data->bindParam(':user', dvwaCurrentUser(), PDO::PARAM_STR);
            $data->execute();

            // 用户反馈：成功
            $html .= "<pre>Password Changed.</pre>";
        } else {
            // 用户反馈：失败
            $html .= "<pre>Either your current password is incorrect or the new passwords did not match.<br />Please try again.</pre>";
            $hide_form = false;
        }
    }
}

// 生成反CSRF攻击的令牌
generateSessionToken();
?>
相关推荐
黑客KKKing9 小时前
网络安全：信息安全
网络·安全·web安全·网络安全
轨迹H16 小时前
DVWA靶场Insecure CAPTCHA(不安全验证)漏洞所有级别通关教程及源码审计
网络安全·渗透测试·dvwa·web漏洞
IT 古月方源16 小时前
DOS攻击的原理和实现 （网络安全）hping3和Slowloris的运用
运维·网络·tcp/ip·安全·网络安全·智能路由器
风间琉璃""17 小时前
PWN的知识之栈溢出
数据结构·算法·网络安全·pwn·二进制安全·栈溢出
Autumn.h20 小时前
常见的框架漏洞
web安全·网络安全
未完结的牵挂21 小时前
pikachu - 暴力破解
网络安全·工具推荐
underatted21 小时前
oscp备考 oscp系列——Kioptix Level 1靶场 古老的 Apache Vuln
网络·安全·web安全·网络安全
Clockwiseee1 天前
文件上传题目练习
android·服务器·安全·网络安全
Clockwiseee1 天前
文件上传漏洞利用与绕过姿势总结
linux·windows·安全·web安全·网络安全·php
H轨迹H1 天前
DVWA靶场Open HTTP Redirect (重定向) 漏洞所有级别通关教程及源码审计
网络安全·渗透测试·dvwa·web漏洞
热门推荐
01渗透测试之SQLMAP工具详解 kali自带SQLmap解释 重点sqlmap --tamper 使用方式详解 搞完你就很nice了02半导体应用系统一些小知识收集(strip&wafer mapping,EAP&scada)03HCIA-datacom数通题库和录播视频资料04新手学习VR全景需要知道的几个问题05【漏洞复现】CVE-2015-3337 Arbitrary File Reading06优化手机性能，解决卡顿问题：关闭这3个微信开关，释放内存空间07映美精黑白相机IFrameQueueBuffer转halcon的HObject08ubuntu22.04.5本地apt源部署09校验 GPT-4 真实性的三个经典问题：快速区分 GPT-3.5 与 GPT-4，并提供免费测试网站10物联网中基于WiFi的室内温度检测系统设计