搜索

[19639] 2020-09-10_「Burpsuite练兵场」CSRF（二）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-09-10_「Burpsuite练兵场」CSRF（二） 「 B u r p s u i t e 练 兵 场 」 C S R F （ 二 ） i 春 秋   2 0 2 0 - 0 9 - 1 0 B u r p s u i t e 练 兵 场 系 列 文 章 更 新 啦 ， 今 天 的 内 容 是 延 续 上 期 关 于 C S R F 的 内 容 介 绍 ， 感 兴 趣 的 小 伙 伴 千 万 别 错 过 了 呦 ！ 上 期 回 顾 上 期 回 顾 「 B u r p s u i t e 练 兵 场 」 C S R F （ 一 ） 本 文 是   i   春 秋 论 坛 作 家 「 d l l _ s 」 表 哥 原 创 的 B u r p s u i t e 练 兵 场 系 列 文 章 ， 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 实 验 一 ： 实 验 一 ： T o k e n 关 联 到 非 会 话 关 联 到 非 会 话 c o o k i e 实 验 提 示 ： 应 用 程 序   e m a i l   c h a n g e 模 块 存 在 C S R F 漏 洞 ， 启 用 了 t o k e n 防 护 ， 但 是 并 未 将 c s r f 令 牌 防 护 整 合 到 会 话 管 理 中 。 实 验 要 求 ： 构 造 C S R F 利 用 代 码 并 上 传 到 e x p l o i t   s e r v e r 中 。
这 里 如 果 看 了 B u r p s u i t e 课 程 中 的 相 关 说 明 ， 就 会 明 白 它 的 原 理 ， 下 面 跟 随 实 验 进 行 讲 解 。 分 别 使 用 提 供 的 两 个 账 号 进 行 登 录 ， 并 使 用 e m a i l   c h a n g e 功 能 ， 观 察 这 两 个 请 求 报 文 。 可 以 发 现 ， c o o k i e 中 的 s e e s i o n 字 段 值 发 生 了 改 变 ， 但 c s r f K e y 字 段 以 及 c s r f 字 段 值 均 未 变 化 。 这 说 明 什 么 含 义 呢 ？ s e s s i o n 负 责 会 话 管 理 ， 根 据 不 同 账 户 刷 新 字 段 值 ； c s r f K e y 以 及 c s r f 用 于 防 范 c s r f 攻 击 ， 可 能 是 根 据 浏 览 器 会 话 或 者 是 I P 地 址 更 新 值 。 这 从 某 种 角 度 来 说 也 是 可 以 成 功 防 范 c s r f 攻 击 的 ， 因 为 我 们 无 法 构 造 P O C 对 C o o k i e 中 的 c s r f K e y 参 数 进 行 单 独 操 纵 。 但 是 在 这 个 w e b 应 用 中 ， 还 存 在 另 一 个 利 用 点 ， 在 h o m e 页 面 的 搜 索 框 中 存 在 注 入 点 ， 让 我 们 来 观 察 一 下 请 求 流 。
可 以 看 到 ， 我 们 的 输 入 触 发 了 服 务 器 的 S e t - c o o k i e 操 作 ， 将 搜 索 参 数 L a s t S e a r c h T e r m = 1 2 3 附 加 到 了 C o o k i e 中 。 因 此 就 可 以 构 造 输 入 ， 将 c s r f K e y 参 数 注 入 到 受 害 者 的 访 问 会 话 中 。 同 样 ， 使 用 B u r p s u i t e 自 动 生 成 C S R F   P O C ， 然 后 修 改 j a v a s c r i p t 自 动 提 交 代 码 ， 通 过 图 片 方 式 构 造 有 效 P O C 。 此 < i m g > 标 签 会 先 请 求 s r c 中 的 地 址 ， 成 功 注 入 c s r f K e y ， 之 后 由 于 图 片 地 址 不 存 在 执 行 o n e r r o r 中 的 j s 代 码 提 交 表 单 。 将 P O C 保 存 到 e x p l o i t   s e r v e r 中 完 成 实 验 。 点 击 V i e w   e x p l o i t 可 以 进 行 验 证 ， 观 察 流 可 以 看 到 成 功 注 入 了 c s r f K e y 字 段 。 需 要 注 入 的 内 容 t e s t S e t - C o o k i e :   c s r f K e y = o T U y b W B c 3 M l h c r C k N T q y 8 t P p J I 6 2 V 6 h g 经 过 U R L 编 码 t e s t % 0 D % 0 A S e t - C o o k i e % 3 A % 2 0 c s r f K e y % 3 D o T U y b W B c 3 M l h c r C k N T q y 8 t P p J I 6 2 V 6 h g < i m g   s r c = " h t t p s : / / a c 3 9 1 f d 2 1 f 1 b 1 d 0 a 8 0 2 d 0 8 7 1 0 0 7 4 0 0 a 9 . w e b - s e c u r i t y - a c a d e m y . n e t / ? s e a r c h = t e s t % 0 D % 0 A S e t - C o o k i e % 3 A % 2 0 c s r f K e y % 3 D o T U y b W B c 3 M l h c r C k N T q y 8 t P p J I 6 2 V 6 h g "
实 验 二 ： 利 用 实 验 二 ： 利 用 T o k e n 双 重 提 交 防 范 双 重 提 交 防 范 C S R F 实 验 提 示 ： 应 用 程 序   e m a i l   c h a n g e 模 块 存 在 C S R F 漏 洞 ， 应 用 程 序 使 用 的 " d o u b l e   s u b m i t " （ 双 重 提 交 ） 防 护 存 在 问 题 。 实 验 要 求 ： 构 造 C S R F 利 用 代 码 并 上 传 到 e x p l o i t   s e r v e r 中 。 这 里 提 到 了 一 个 d o u b l e   s u b m i t 防 范 方 式 ， 其 具 体 原 理 为 ： W e b 应 用 不 维 护 已 发 出 令 牌 的 任 何 服 务 器 端 记 录 ， 而 是 在 一 个 c o o k i e 和 一 个 请 求 参 数 中 复 制 每 个 令 牌 ， 在 验 证 后 续 请 求 时 ， 应 用 程 序 只 需 验 证 在 请 求 参 数 中 提 交 的 令 牌 是 否 与 在 c o o k i e 中 提 交 的 值 匹 配 ， 这 样 一 来 就 避 免 了 任 何 服 务 器 端 状 态 的 需 要 ， 因 此 也 是 一 种 不 错 的 实 现 方 式 。 然 而 在 这 个 实 验 环 境 中 之 所 以 能 够 进 行 C S R F 攻 击 ， 是 因 为 与 上 一 个 实 验 一 样 ， 搜 索 框 中 存 在 注 入 点 ， 我 们 可 以 注 入 想 要 的 C o o k i e 头 中 的 c s r f 字 段 。 所 以 前 面 的 操 作 流 程 大 致 相 似 ， 利 用 B u r p s u i t e 生 成 P O C ， 不 同 点 在 于 注 入 点 的 代 码 。
< i m g > 标 签 构 造 将 P O C 保 存 到 e x p l o i t   s e r v e r 完 成 实 验 。 实 验 三 ： 默 认 实 验 三 ： 默 认 R e f e r e r 头 存 在 导 致 头 存 在 导 致 C S R F 攻 击 攻 击 实 验 提 示 ： 应 用 程 序 e m a i l   c h a n g e 模 块 存 在 C S R F 漏 洞 。 实 验 要 求 ： 构 造 C S R F 利 用 代 码 并 上 传 到 e x p l o i t   s e r v e r 中 。 需 要 注 入 的 内 容 t e s t S e t - C o o k i e :   c s r f = n N 0 h i e j O g 5 K X M b n 4 N 9 4 P i D f z u z Z b W n h N 经 过 U R L 编 码 t e s t % 0 A S e t - C o o k i e % 3 A % 2 0 c s r f % 3 D n N 0 h i e j O g 5 K X M b n 4 N 9 4 P i D f z u z Z b W n h N < i m g   s r c = " h t t p s : / / a c 7 7 1 f 4 b 1 f c 2 3 b f 1 8 0 9 4 4 7 d 5 0 0 3 3 0 0 2 9 . w e b - s e c u r i t y - a c a d e m y . n e t / ? s e a r c h = t e s t % 0 A S e t - C o o k i e % 3 A % 2 0 c s r f % 3 D n N 0 h i e j O g 5 K X M b n 4 N 9 4 P i D f z u z Z b W n h N "
什 么 叫 做 基 于 R e f e r e r 头 的 防 范 呢 ？ H T T P 报 文 中 的 R e f e r r e r   头 大 家 应 该 都 熟 悉 ， 它 会 显 示 当 前 文 档 的 来 源 文 档 的 U R L ， 所 以 程 序 可 以 通 过 判 断 该 值 是 否 为 所 要 求 的 U R L 来 防 范 c s r f 攻 击 。 但 是 一 些 W e b 程 序 会 默 认 此 头 存 在 ， 以 此 导 致 如 果 我 们 删 除 了 r e f e r e r 头 ， 判 断 逻 辑 就 会 失 效 ， c s r f 攻 击 仍 然 可 以 成 功 执 行 。 知 道 了 原 理 ， 实 验 就 好 操 作 了 。 同 样 登 录 账 户 ， 来 到 e m a i l   c h a n g e 页 面 修 改 邮 箱 ， 并 根 据 报 文 生 成 C S R F   P O C ， 我 们 通 过 < m e t a >   标 签 来 指 定   R e f e r r e r   策 略 ， 将 如 下 代 码 插 入 到 p o c 中 ， 以 达 到 去 掉 R e f e r e r 头 的 效 果 。 将 P O C 保 存 到 e x p l o i t   s e r v e r 完 成 实 验 。 < h e a d > < m e t a   n a m e = " r e f e r r e r "   c o n t e n t = " n o - r e f e r r e r " > < / h e a d >
关 于 插 入 代 码 的 详 细 原 理 可 以 查 看 这 篇 文 章 ： R e f e r r e r   P o l i c y   介 绍 。 实 验 四 ： 实 验 四 ： R e f e r e r 验 证 失 效 导 致 验 证 失 效 导 致 C S R F 攻 击 攻 击 实 验 提 示 ： 应 用 程 序 e m a i l   c h a n g e 模 块 存 在 C S R F 漏 洞 ， 虽 然 程 序 尝 试 检 测 并 阻 止 跨 站 请 求 但 仍 然 可 以 被 绕 过 。 实 验 要 求 ： 构 造 C S R F 利 用 代 码 并 上 传 到 e x p l o i t   s e r v e r 中 。 这 一 实 验 中 ， w e b 对 R e f e r e r 进 行 了 验 证 ， 但 是 验 证 方 式 存 在 逻 辑 漏 洞 。 一 些 应 用 程 序 以 一 种 可 以 绕 过 的 简 单 方 式 验 证 R e f e r e r 头 。 例 如 ， 如 果 应 用 程 序 只 是 验 证 R e f e r e r 是 否 包 含 自 己 的 域 名 ， 则 攻 击 者 可 以 将 所 需 的 值 放 在 U R L 中 的 其 他 位 置 。 如 果 应 用 程 序 验 证 R e f e r e r 中 的 域 以 预 期 值 开 始 ， 则 攻 击 者 可 以 将 其 作 为 自 己 域 的 子 域 。 了 解 了 验 证 机 制 问 题 ， 我 们 就 可 以 着 手 进 行 突 破 了 。 h t t p : / / a t t a c k e r - w e b s i t e . c o m / c s r f - a t t a c k ? v u l n e r a b l e w e b s i t e . c o m h t t p : / / v u l n e r a b l e w e b s i t e . c o m . a t t a c k e r - w e b s i t e . c o m / c s r f - a t t a c k
这 里 可 以 尝 试 能 否 使 用 < i m g > 改 变 R e f e r e r 源 。 验 证 可 以 发 现 R e f e r e r 值 仍 然 为 我 们 的 e x p l o i t   s e r v e r 地 址 ， 更 改 失 败 。 这 里 就 要 用 到 一 个 新 的 技 巧 ： h i s t o r y . p u s h S t a t e ( s t a t e ,   t i t l e [ ,   u r l ] )   用 于 插 入 一 条 历 史 记 录 。 这 一 函 数 的 作 用 其 实 在 之 前 就 已 经 可 以 初 见 端 倪 。 观 察 这 个 报 文 流 ， 你 是 否 会 感 觉 很 奇 怪 ， 为 什 么 图 中 标 黄 的 报 文 R e f e r e r 值 并 不 是 / e x p l o i t 路 径 。 没 错 ， 原 因 就 是 因 为 我 们 利 用 P O C 插 入 了 一 条 历 史 记 录 使 得 R e f e r e r 值 也 随 之 更 改 。 注 意 ： 这 一 函 数 是 存 在 跨 域 限 制 的 ， 即 我 们 只 能 插 入 e x p l o i t   s e r v e r 域 的 地 址 ， 所 以 我 们 的 构 造 方 式 是 这 样 。 h t t p s : / / a c b d 1 f a 3 1 e d 4 a 3 2 f 8 0 4 b 0 b e 5 0 0 d c 0 0 8 5 . w e b - s e c u r i t y - a c a d e m y . n e t       # 这 是 正 常 e m a i l - c h a n g e 报 文 中 有 效 的 r e f e r e r 值 h t t p s : / / a c 8 5 1 f b 3 1 f c d 3 5 a 3 8 0 b 9 0 0 5 b 0 1 4 2 0 0 6 4 . w e b - s e c u r i t y - a c a d e m y . n e t       # 这 是 我 们 的 e x p l o i t   s e r v e r 地 址 < i m g   s r c = " h t t p s : / / a c b d 1 f a 3 1 e d 4 a 3 2 f 8 0 4 b 0 b e 5 0 0 d c 0 0 8 5 . w e b - s e c u r i t y - a c a d e m y . n e t / e m a i l "   o n e r r o r = " d o c u m e n t . f o r m s [ 0 ] . s u b m i t ( ) " h i s t o r y . p u s h S t a t e ( s t a t e ,   t i t l e [ ,   u r l ] ) s t a t e : j a v a s c r i p t 对 象 ， 与 p u s h S t a t e 所 创 建 的 条 目 相 关 联 ， 传 入 的 值 可 以 是 任 何 可 序 列 化 对 象 t i t l e : 大 多 数 浏 览 器 目 前 忽 略 这 个 参 数 ， 建 议 传 递 空 字 符 串 u r l : 传 递 的 值 必 须 与 当 前 u r l 同 域 ， 可 以 使 用 相 对 于 当 前 u r l 的 相 对 路 径
通 过 将 正 确 的 R e f e r e r 值 附 着 到 e x p l o i t   s e r v e r 域 后 以 此 欺 骗 验 证 以 实 施 成 功 的 c s r f 攻 击 。 将 P O C 保 存 到 e x p l o i t   s e r v e r 完 成 实 验 总 结 总 结 C S R F 的 实 验 到 这 里 就 结 束 了 ， 通 过 实 验 我 们 也 基 本 可 以 总 结 出 如 何 有 效 的 防 范 此 类 攻 击 ： 使 用 T o k e n ， 注 意 需 要 保 证 T o k e n 的 不 可 预 测 性 以 及 会 话 关 联 性 ； 也 可 以 利 用 文 所 描 述 的 中 d o u b l e   s u b m i t 机 制 ； 验 证 R e f e r e r 头 ， 注 意 不 要 使 用 简 单 验 证 ； 不 要 忽 略 任 何 验 证 参 数 不 存 在 的 情 况 ， 以 及 任 何 不 同 的 请 求 方 式 。 今 天 的 文 章 分 享 ， 小 伙 伴 们 看 懂 了 吗 ？ 文 章 素 材 来 源 于 i 春 秋 社 区 如 果 想 要 系 统 全 面 学 习 网 络 安 全 课 程 ， 可 以 报 名 i 春 秋 培 训 中 心 的 渗 透 测 试 工 程 师 线 下 就 业 班 ， 北 京 + 成 都 两 地 同 时 开 启 秋 季 线 下 招 生 ， 现 在 报 名 即 可 享 受 开 学 季 超 值 优 惠 ！ h i s t o r y . p u s h S t a t e ( ' ' ,   ' ' ,   ' / ? a c b d 1 f a 3 1 e d 4 a 3 2 f 8 0 4 b 0 b e 5 0 0 d c 0 0 8 5 . w e b - s e c u r i t y - a c a d e m y . n e t ' )
  更 多 课 程 咨 询 ， 识 别 下 方 二 维 码 ， 培 训 老 师 一 对 一 为 您 解 答 疑 惑 ！ 快 速 咨 询 入 口 快 速 咨 询 入 口 因 为 公 众 号 平 台 改 变 了 推 送 规 则 ， 文 章 的 更 新 不 再 按 照 推 送 时 间 排 序 ， 如 果 想 及 时 查 看 安 全 技 能 相 关 文 章 ， 请 这 样 操 作 ： 1 、 在 每 一 次 阅 读 后 点 在 每 一 次 阅 读 后 点 “ 在 看 在 看 ” ； ； 2 、 设 为 星 标 设 为 星 标 ，   点 击 公 众 号 名 称 “ i 春 秋 ” ， 再 点 右 上 角 的 “ . . . ” ， 点 “ 设 为 星 标 ” 文 末 下 方 点 个 赞 赞 和 在 看 在 看 哦 i 春 秋 官 方 公 众 号 为 大 家 提 供 春 秋 官 方 公 众 号 为 大 家 提 供 前 沿 的 网 络 安 全 技 术 简 单 易 懂 的 实 用 工 具 紧 张 刺 激 的 安 全 竞 赛 还 有 网 络 安 全 大 讲 堂
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理