• DVWA靶场-CSRF跨站请求伪造

    CSRF(跨站请求伪造)简介
    概念

    CSRF（Cross—site request forgery），跨站请求伪造，是指利用受害者未失效的身份认证信息（cookie，会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下，以受害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法操作（如转账，改密等）。

    CSRF与XSS的区别

    CSRF属于业务逻辑漏洞，在服务器看来，所有的请求都是合法正常的；

    XSS，SQL注入等等都是属于技术漏洞；

    XSS：客户信任服务器；

    CSRF：服务器信任客户（经过身份认证的）；

    CSRF攻击成功的前提

    用户必须登录；

    黑客必须懂得一些发包的请求；

    服务器端不会有二次认证；

    被害者是不知情的；

    危害

    修改用户信息，如用户头像、发货地址等

    个人隐私泄露，机密资料泄露

    执行恶意操作，如修改密码，购买商品，转账等（盗用受害者身份，受害者能做什么攻击者就能以受害者身份）

    具体操作请看这篇文章pikachu靶场-csrf_pikachu csrf黑名单-CSDN博客

    low等级 
    2.  
    3. if( isset( $_GET[ 'Change' ] ) ) {
    4. 	// Get input
    5. 	$pass_new  = $_GET[ 'password_new' ];
    6. 	$pass_conf = $_GET[ 'password_conf' ];
    7.  
    8. 	// Do the passwords match?
    9. 	if( $pass_new == $pass_conf ) {
    10. 		// They do!
    11. 		$pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    12. 		$pass_new = md5( $pass_new );
    13.  
    14. 		// Update the database
    15. 		$insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
    16. 		$result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '
      ' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '
      '       );
    17.  
    18. 		// Feedback for the user
    19. 		$html .= "
      Password Changed.
      "      ;
    20. 	}
    21. 	else {
    22. 		// Issue with passwords matching
    23. 		$html .= "
      Passwords did not match.
      "      ;
    24. 	}
    25.  
    26. 	((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
    27. }
    28.  
    29. ?>

    只是对输入的pass_new和pass_conf进行了==比较，没有进行其他的防御，因此，只要用户在cookie还有效的时间内在相同的浏览器访问我们给定的url（该操作是服务器对请求的发送者进行了身份验证，检查cookie），就可以实现CSRF 攻击，最终修改密码。

    medium等级
    2.  
    3. if( isset( $_GET[ 'Change' ] ) ) {
    4. 	// Checks to see where the request came from
    5. 	if( stripos( $_SERVER[ 'HTTP_REFERER' ] ,$_SERVER[ 'SERVER_NAME' ]) !== false ) {
    6. 		// Get input
    7. 		$pass_new  = $_GET[ 'password_new' ];
    8. 		$pass_conf = $_GET[ 'password_conf' ];
    9.  
    10. 		// Do the passwords match?
    11. 		if( $pass_new == $pass_conf ) {
    12. 			// They do!
    13. 			$pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    14. 			$pass_new = md5( $pass_new );
    15.  
    16. 			// Update the database
    17. 			$insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
    18. 			$result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '
      ' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '
      '       );
    19.  
    20. 			// Feedback for the user
    21. 			$html .= "
      Password Changed.
      "      ;
    22. 		}
    23. 		else {
    24. 			// Issue with passwords matching
    25. 			$html .= "
      Passwords did not match.
      "      ;
    26. 		}
    27. 	}
    28. 	else {
    29. 		// Didn't come from a trusted source
    30. 		$html .= "
      That request didn't look correct.
      "      ;
    31. 	}
    32.  
    33. 	((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
    34. }
    35.  
    36. ?>
    • 使用$_SERVER['HTTP_REFERER']获取请求的来源页面URL。
    • 使用$_SERVER['SERVER_NAME']获取当前服务器的域名。
    • 使用stripos()函数（不区分大小写地查找字符串首次出现的位置）来检查请求来源URL是否包含当前服务器的域名。

    假如服务器地址为192.168.101.66，即为SERVER_NAME，我们只需要把我们构造的恶意页面文件名改为192.168.101.66.html，HTTP_REFERER就会包含192.168.101.66.html,就可以绕过stripos了。

    这个对于本地搭建的DVWA是无效的 

    high等级
    2.  
    3. $change = false;
    4. $request_type = "html";
    5. $return_message = "Request Failed";
    6.  
    7. if ($_SERVER['REQUEST_METHOD'] == "POST" && array_key_exists ("CONTENT_TYPE", $_SERVER) && $_SERVER['CONTENT_TYPE'] == "application/json") {
    8. 	$data = json_decode(file_get_contents('php://input'), true);
    9. 	$request_type = "json";
    10. 	if (array_key_exists("HTTP_USER_TOKEN", $_SERVER) &&
    11. 		array_key_exists("password_new", $data) &&
    12. 		array_key_exists("password_conf", $data) &&
    13. 		array_key_exists("Change", $data)) {
    14. 		$token = $_SERVER['HTTP_USER_TOKEN'];
    15. 		$pass_new = $data["password_new"];
    16. 		$pass_conf = $data["password_conf"];
    17. 		$change = true;
    18. 	}
    19. } else {
    20. 	if (array_key_exists("user_token", $_REQUEST) &&
    21. 		array_key_exists("password_new", $_REQUEST) &&
    22. 		array_key_exists("password_conf", $_REQUEST) &&
    23. 		array_key_exists("Change", $_REQUEST)) {
    24. 		$token = $_REQUEST["user_token"];
    25. 		$pass_new = $_REQUEST["password_new"];
    26. 		$pass_conf = $_REQUEST["password_conf"];
    27. 		$change = true;
    28. 	}
    29. }
    30.  
    31. if ($change) {
    32. 	// Check Anti-CSRF token
    33. 	checkToken( $token, $_SESSION[ 'session_token' ], 'index.php' );
    34.  
    35. 	// Do the passwords match?
    36. 	if( $pass_new == $pass_conf ) {
    37. 		// They do!
    38. 		$pass_new = mysqli_real_escape_string ($GLOBALS["___mysqli_ston"], $pass_new);
    39. 		$pass_new = md5( $pass_new );
    40.  
    41. 		// Update the database
    42. 		$insert = "UPDATE `users` SET password = '" . $pass_new . "' WHERE user = '" . dvwaCurrentUser() . "';";
    43. 		$result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert );
    44.  
    45. 		// Feedback for the user
    46. 		$return_message = "Password Changed.";
    47. 	}
    48. 	else {
    49. 		// Issue with passwords matching
    50. 		$return_message = "Passwords did not match.";
    51. 	}
    52.  
    53. 	mysqli_close($GLOBALS["___mysqli_ston"]);
    54.  
    55. 	if ($request_type == "json") {
    56. 		generateSessionToken();
    57. 		header ("Content-Type: application/json");
    58. 		print json_encode (array("Message" =>$return_message));
    59. 		exit;
    60. 	} else {
    61. 		$html .= "
      " . $return_message . "
      "      ;
    62. 	}
    63. }
    64.  
    65. // Generate Anti-CSRF token
    66. generateSessionToken();
    67.  
    68. ?>

    设置了token限制，它是在每次访问此页面时，会随机生成一个token，当发起服务器请求时服务器会检查它的值。

    思路：先获取token的值，再构造链接并诱骗受害者访问。

    利用以下payload在反射型xss中获取到token值，不要点确认（否则会重新生成新的token）