DVWA靶场之三:跨站请求伪造(CSRF)

DVWA靶场之三:跨站请求伪造(CSRF)


CSRF(Cross-Site Request Forgery,跨站请求伪造)是一种让用户在不知情的情况下执行非本意操作的网络攻击。

生活化比喻

就像有人伪造你的签名:

复制代码
你:银行客户(已登录网银)
攻击者:给你寄来一张"优惠申请表"
结果:你填表后,实际上是在授权转账给攻击者

技术原理

攻击条件:

复制代码
用户已登录目标网站(有会话cookie)
用户访问了恶意网站或邮件
恶意网站伪造请求到目标网站

攻击流程:

复制代码
1. 用户登录 bank.com ← 获得会话cookie
2. 用户访问 evil.com ← 恶意网站
3. evil.com 自动提交表单到 bank.com/transfer
4. 浏览器携带cookie发送请求 ← 银行认为是用户自愿操作
5. 转账完成!

1. low难度

分析源码

php 复制代码
<?php
if( isset( $_GET[ 'Change' ] ) ) {
    // Get input
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];
    // Do the passwords match?
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );
        // Update the database
        $current_user = dvwaCurrentUser();
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . $current_user . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match.</pre>";
    }
    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
?>

源码里,只是通过pass_new == pass_conf 来通过两次相同输入新密码,并没有验证旧密码。而且用的GET方法,通过URL就可知道。

复制代码
http://127.0.0.1/vulnerabilities/csrf/?password_new=123&password_conf=123&Change=Change#

直接修改链接中的password_new和password_conf就能改密码了


2. medium难度

php 复制代码
<?php
if( isset( $_GET[ 'Change' ] ) ) {
    // Checks to see where the request came from
    if( stripos( $_SERVER[ 'HTTP_REFERER' ] ,$_SERVER[ 'SERVER_NAME' ]) !== false ) {
        // Get input
        $pass_new  = $_GET[ 'password_new' ];
        $pass_conf = $_GET[ 'password_conf' ];
        // Do the passwords match?
        if( $pass_new == $pass_conf ) {
            // They do!
            $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
            $pass_new = md5( $pass_new );
            // Update the database
            $current_user = dvwaCurrentUser();
            $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . $current_user . "';";
            $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
            // Feedback for the user
            echo "<pre>Password Changed.</pre>";
        }
        else {
            // Issue with passwords matching
            echo "<pre>Passwords did not match.</pre>";
        }
    }
    else {
        // Didn't come from a trusted source
        echo "<pre>That request didn't look correct.</pre>";
    }
    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
?>

现在的代码:增加了 if( stripos($_SERVER['HTTP_REFERER'], $_SERVER['SERVER_NAME']) !== false )

试图只接受来自本站的请求(简单的 Referer 白名单)。

在low 版本:没有任何 Referer 验证,任何带 ?Change=... 的请求都会被处理。

要绕过(medium 难度的防护),攻击者需要在发出的请求里人为加入 Referer 头,并且把它的来源(origin)写成正确的、被服务器接受的来源,这样应用就会把这个请求当作来自本站而处理。

这里可以使用burp,在request里添加referer数据
然后选择send,之后可以在reponse中看到密码被成功修改


3. high难度

php 复制代码
<?php
$change = false;
$request_type = "html";
$return_message = "Request Failed";
if ($_SERVER['REQUEST_METHOD'] == "POST" && array_key_exists ("CONTENT_TYPE", $_SERVER) && $_SERVER['CONTENT_TYPE'] == "application/json") {
    $data = json_decode(file_get_contents('php://input'), true);
    $request_type = "json";
    if (array_key_exists("HTTP_USER_TOKEN", $_SERVER) &&
        array_key_exists("password_new", $data) &&
        array_key_exists("password_conf", $data) &&
        array_key_exists("Change", $data)) {
        $token = $_SERVER['HTTP_USER_TOKEN'];
        $pass_new = $data["password_new"];
        $pass_conf = $data["password_conf"];
        $change = true;
    }
} else {
    if (array_key_exists("user_token", $_REQUEST) &&
        array_key_exists("password_new", $_REQUEST) &&
        array_key_exists("password_conf", $_REQUEST) &&
        array_key_exists("Change", $_REQUEST)) {
        $token = $_REQUEST["user_token"];
        $pass_new = $_REQUEST["password_new"];
        $pass_conf = $_REQUEST["password_conf"];
        $change = true;
    }
}

if ($change) {
    // Check Anti-CSRF token
    checkToken( $token, $_SESSION[ 'session_token' ], 'index.php' );
    // Do the passwords match?
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = mysqli_real_escape_string ($GLOBALS["___mysqli_ston"], $pass_new);
        $pass_new = md5( $pass_new );
        // Update the database
        $current_user = dvwaCurrentUser();
        $insert = "UPDATE `users` SET password = '" . $pass_new . "' WHERE user = '" . $current_user . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert );
        // Feedback for the user
        $return_message = "Password Changed.";
    }
    else {
        // Issue with passwords matching
        $return_message = "Passwords did not match.";
    }
    mysqli_close($GLOBALS["___mysqli_ston"]);
    if ($request_type == "json") {
        generateSessionToken();
        header ("Content-Type: application/json");
        print json_encode (array("Message" =>$return_message));
        exit;
    } else {
        echo "<pre>" . $return_message . "</pre>";
    }
}
// Generate Anti-CSRF token
generateSessionToken();
?>

和low难度相比,high难度有如下变化

加入 CSRF Token 验证,只有表单提交时带上正确的 token,服务器才会接受请求。避免了攻击者随便构造请求就能改密码。这和上一关的high难度很像,也是加了CSRF验证。

用burp抓包发现请求里带上了token

这里我们可以使用burpsuit的CSRF Token Tracker 插件绕过user_token验证。
CSRF Token Tracker 可以

自动提取 token:从 HTML(hidden input)、JSON、response header、meta、或脚本变量中抽取值(通常用正则或路径规则)。

自动注入 token:把提取出的 token 替换回发送的请求的指定位置(表单字段、JSON body、请求头等)。
输入主机名、token的名字和token的值
点击repeater里的send可以看到密码被修改成功。


4. impossible

php 复制代码
<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $pass_curr = $_GET[ 'password_current' ];
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

    // Sanitise current password input
    $pass_curr = stripslashes( $pass_curr );
    $pass_curr = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_curr ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass_curr = md5( $pass_curr );

    // Check that the current password is correct
    $data = $db->prepare( 'SELECT password FROM users WHERE user = (:user) AND password = (:password) LIMIT 1;' );
    $current_user = dvwaCurrentUser();
    $data->bindParam( ':user', $current_user, PDO::PARAM_STR );
    $data->bindParam( ':password', $pass_curr, PDO::PARAM_STR );
    $data->execute();

    // Do both new passwords match and does the current password match the user?
    if( ( $pass_new == $pass_conf ) && ( $data->rowCount() == 1 ) ) {
        // It does!
        $pass_new = stripslashes( $pass_new );
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update database with new password
        $data = $db->prepare( 'UPDATE users SET password = (:password) WHERE user = (:user);' );
        $data->bindParam( ':password', $pass_new, PDO::PARAM_STR );
        $current_user = dvwaCurrentUser();
        $data->bindParam( ':user', $current_user, PDO::PARAM_STR );
        $data->execute();

        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match or current password incorrect.</pre>";
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?>

修改密码之前需要验证原始密码,在攻击者不知道原始密码的基础上,是无法进行CSRF攻击的

相关推荐
钮钴禄·爱因斯晨40 分钟前
不只是字符串:Actix-web 路由与 FromRequest的类型安全艺术
前端·安全
清风25561 小时前
网络安全相关知识
安全·web安全
LDG_AGI1 小时前
【推荐系统】深度学习训练框架(二):深入剖析Spark Cluster模式下DDP网络配置解析
大数据·网络·人工智能·深度学习·算法·机器学习·spark
华普微HOPERF6 小时前
Matter协议,如何塑造更宜居、流畅的智能家居网络?
服务器·网络·智能家居
Giser探索家6 小时前
无人机桥梁巡检:以“空天地”智慧之力守护交通生命线
大数据·人工智能·算法·安全·架构·无人机
wanhengidc9 小时前
云手机适配用户有哪些?
服务器·arm开发·安全·智能手机·玩游戏
せいしゅん青春之我10 小时前
【JavaEE初阶】TCP核心机制3——连接管理
网络·网络协议·tcp/ip·java-ee
亚远景aspice11 小时前
亚远景-ISO 26262与ISO 21434:汽车安全标准的双基石
安全·web安全
clear sky .12 小时前
ETH, Lwip,Tcp之间关系
服务器·网络·tcp/ip
我叫汪枫13 小时前
《从点击到响应:HTTP 请求是如何传出去的》
网络·网络协议·http