DVWA大通關（三、CSRF）
阿新 • • 發佈：2020-11-21
CSRF 跨站請求偽造介紹
跨站請求偽造 (Cross-Site Request Forgery, CSRF)，也被稱為 One Click Attack 或者 Session Riding ，通常縮寫為CSRF，是一種對網站的惡意利用。通常利用受害者尚未失效的身份認證資訊（cookie、會話等），誘騙其點選惡意連結或者訪問包含攻擊程式碼的頁面，在受害者不知情的情況下以受害者的身份向伺服器傳送請求，從而完成非法操作（改密）。CSRF與XSS最大的區別在於，CSRF並沒有盜取cookie而是直接利用。
CSRF（low）
進入CSRF，修改密碼為123
修改成功，可以看到連結為get請求，其中中包含了我們要修改的密碼，當然我們可以更改其中的引數
http://192.168.115.130:89/vulnerabilities/csrf/?password_new=123&password_conf=123&Change=Change#
更改新的密碼為123456，在瀏覽器複製以下連結，直接將密碼修改成123456
http://192.168.115.130:89/vulnerabilities/csrf/?password_new=123456&password_conf=123456&Change=Change#
需要注意的是，必須使用之前登入的瀏覽器開啟連結才能修改成功。所以CSRF攻擊的前提是目標網站存在CSRF，而且受害者需要保持目標站點的登入活動狀態，還需要點選釣魚連結。
CSRF攻擊的改進：
1、生成短連結
2、將CSRF程式碼嵌入其他網頁
<img src="http://192.168.115.130:89/vulnerabilities/csrf/?password_new=1234&password_conf=1234&Change=Change#" border="0" style="display:none;"/> <h1>404<h1> <h2>file not found.<h2>
程式碼分析：low級別的CSRF原始碼，利用mysql_real_escape_string()函式對$pass_new和$pass_conf變數進行了過濾，可以防止SQL注入，但無法阻止CSRF攻擊。
<?php if( isset( $_GET[ 'Change' ] ) ) { // Get input $pass_new = $_GET[ 'password_new' ]; $pass_conf = $_GET[ 'password_conf' ]; // Do the passwords match? if( $pass_new == $pass_conf ) { // They do! $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : "")); $pass_new = md5( $pass_new ); // Update the database $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';"; $result = mysqli_query($GLOBALS["___mysqli_ston"], $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' ); // Feedback for the user echo "<pre>Password Changed.</pre>"; } else { // Issue with passwords matching echo "<pre>Passwords did not match.</pre>"; } ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res); } ?>
CSRF（medium）
程式碼分析：
medium級別的CSRF原始碼，在獲取$pass_new和$pass_conf兩個變數之前，先利用if語句以及eregi()函式來判斷"$_SERVER['HTTP_REFERER']"的值是否是主機ip。
stripos()函式查詢字串在另一個字串中第一次出現的位置（不區分大小寫），如何沒有找到返回false。
<?php
if( isset( $_GET[ 'Change' ] ) ) {
// Checks to see where the request came from
if( stripos( $_SERVER[ 'HTTP_REFERER' ] ,$_SERVER[ 'SERVER_NAME' ]) !== false ) {
// Get input
$pass_new = $_GET[ 'password_new' ];
$pass_conf = $_GET[ 'password_conf' ];
// Do the passwords match?
if( $pass_new == $pass_conf ) {
// They do!
$pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$pass_new = md5( $pass_new );
// Update the database
$insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
// Feedback for the user
echo "<pre>Password Changed.</pre>";
}
else {
// Issue with passwords matching
echo "<pre>Passwords did not match.</pre>";
}
}
else {
// Didn't come from a trusted source
echo "<pre>That request didn't look correct.</pre>";
}
((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
?>
小筆記：HTTP頭中的Referer欄位，記錄了該HTTP請求的來源地址
上述過濾規則是http的Referer引數的值中必須包含主機名，可以將攻擊頁面命名為ip.html（頁面被放置在攻擊者的伺服器裡）就可以繞過了
CSRF（high）
high級別的程式碼增加了Anti-CSRF token機制，使用者每次訪問改密頁面時，伺服器會返回一個隨機的token，向伺服器發起請求時，需要提交token引數，而伺服器在收到請求時，會優先檢查token，只有token正確，才會處理客戶端請求。
<?php
if( isset( $_GET[ 'Change' ] ) ) {
// Check Anti-CSRF token
checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
// Get input
$pass_new = $_GET[ 'password_new' ];
$pass_conf = $_GET[ 'password_conf' ];
// Do the passwords match?
if( $pass_new == $pass_conf ) {
// They do!
$pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$pass_new = md5( $pass_new );
// Update the database
$insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
// Feedback for the user
echo "<pre>Password Changed.</pre>";
}
else {
// Issue with passwords matching
echo "<pre>Passwords did not match.</pre>";
}
((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
// Generate Anti-CSRF token
generateSessionToken();
?>
只有獲取token才能進行CSRF，但是瀏覽器的跨域問題，不能直接獲取，所以比較難利用。但是如果伺服器存在儲存XSS可以來獲取token， 然後構造url和程式碼進行CSRF利用。所以high級別的CSRF將會組合儲存XSS一起利用。
CSRF（impossible）
與之前不同的是，要求輸入當前密碼的才能修改密碼，進行過濾，使用了PDO避免SQL注入，判斷當前密碼輸入正確且修改的密碼一致時才能生成新的密碼
// Get input
$pass_curr = $_GET[ 'password_current' ];
$pass_new = $_GET[ 'password_new' ];
$pass_conf = $_GET[ 'password_conf' ];
// Sanitise current password input
$pass_curr = stripslashes( $pass_curr );
$pass_curr = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass_curr ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$pass_curr = md5( $pass_curr );
// Check that the current password is correct
$data = $db->prepare( 'SELECT password FROM users WHERE user = (:user) AND password = (:password) LIMIT 1;' );
$data->bindParam( ':user', dvwaCurrentUser(), PDO::PARAM_STR );
$data->bindParam( ':password', $pass_curr, PDO::PARAM_STR );
$data->execute();
常見防範措施
1、加入Anti-CSRF，每次向客戶端傳送一個隨機數，當客戶端向伺服器傳送資料時對比隨機數從而確定身份
2、獲取當前使用者密碼，以此判斷是否為當前使用者操作
3、二次確認（提示、二次密碼、驗證碼）