本文記錄 Kali Linux 2018.1 學習使用和滲透測試的詳細過程，教程為安全牛課堂裡的《Kali Linux 滲透測試》課程

1. 簡介
2. 判斷漏洞
3. 伺服器原始碼
    3-1. dvwa Low 安全級別
    3-2. dvwa Medium 安全級別
    3-3. dvwa High 安全級別

1. 簡介

1. 從信任角度

   • XSS：利用使用者對站點的信任，攻擊者通過注入程式來修改網站來使使用者瀏覽器被重定向等
   • CSRF：利用站帶你對已經身份認證的使用者的信任，攻擊者偽造一個連結誤導使用者點選連結來使用使用者的身份認證來訪問伺服器

2. 結合社工在身份認證會話過程中實現供給

   • 修改賬號密碼、個人資訊（email、收貨地址）
   • 傳送偽造的業務請求（網銀、購物、投票）
   • 關注他人社交賬號、推送博文
   • 在使用者非自願、不知情的情況下提交請求

3. 業務邏輯漏洞

   • 伺服器對關鍵操作缺少確認機制
   • 自動掃描程式無法發現此漏洞

4. 漏洞利用條件

   • 被害使用者已經完成身份認證
   • 新請求的提交不需要重新身份認證或確認機制
   • 攻擊者必須瞭解 Web APP 請求的引數構造
   • 誘使使用者觸發攻擊的指令（社工）

5. BurpSuite CSRF PoC gennretor

   • POST / GET 方法

6. 自動掃描程式的檢測方法

   • 在請求和響應過程中檢查是否存在 anti-CSRF tokec 名
   • 見擦汗伺服器是否嚴恆 anti-CSRF token 的名值
   • 檢查 tiken 中可編輯的字串
   • 檢查 referer 頭是否可以偽造

7. 對策

   • captcha
   • anti-CSRF token
   • referer 頭
   • 降低會話超時時間

2. 判斷漏洞

1. 新的修改密碼請求不需要輸入原密碼、

   
   

2. 攻擊者修改伺服器 URL 地址，誘導使用者點選修改密碼

   http://10.10.10.132/dvwa/vulnerabilities/csrf/?password_new=aaaaaaaa&password_conf=aaaaaaaa&Change=Change
   # 放在 kali 本機，kali 模擬訪問
   

   

3. 普通使用者在正常登陸 dvwa 的時候，點選此連結

   # 被攻擊者的密碼被修改
   

   
   
   

   # 攻擊者可以使用新的密碼進行登入
   

4. 生成 PoC 檔案，證明漏洞存在

   
   
   

   # 將 URL 儲存至檔案誘導使用者訪問（同上）
   

   
   
   

2. 伺服器原始碼

1. dvwa Low 安全級別

<?php        
    if (isset($_GET['Change'])) { 
        // Turn requests into variables 
        $pass_new = $_GET['password_new']; 
        $pass_conf = $_GET['password_conf']; 


        if (($pass_new == $pass_conf)){ 
            $pass_new = mysql_real_escape_string($pass_new); 
            $pass_new = md5($pass_new); 

            $insert="UPDATE `users` SET password = '$pass_new' WHERE user = 'admin';"; 
            $result=mysql_query($insert) or die('<pre>' . mysql_error() . '</pre>' ); 

            echo "<pre> Password Changed </pre>";         
            mysql_close(); 
        } 
        else{         
            echo "<pre> Passwords did not match. </pre>";             
        } 
    } 
?>  

2. dvwa Medium 安全級別

<?php     
    if (isset($_GET['Change'])) { 
        // Checks the http referer header 
        //只支援上一級的頁面是來自本機的（由本機的頁面跳轉的此頁面）
        if ( eregi ( "127.0.0.1", $_SERVER['HTTP_REFERER'] ) ){ 

            // Turn requests into variables 
            $pass_new = $_GET['password_new']; 
            $pass_conf = $_GET['password_conf']; 

            if ($pass_new == $pass_conf){ 
                $pass_new = mysql_real_escape_string($pass_new); 
                $pass_new = md5($pass_new); 

                $insert="UPDATE `users` SET password = '$pass_new' WHERE user = 'admin';"; 
                $result=mysql_query($insert) or die('<pre>' . mysql_error() . '</pre>' ); 

                echo "<pre> Password Changed </pre>";         
                mysql_close(); 
            } 
            else{         
                echo "<pre> Passwords did not match. </pre>";             
            }    
        }   
    } 
?>

# 只需要使用 burpsuite 修改 referer 值為本機

3. dvwa High 安全級別

<?php        
    if (isset($_GET['Change'])) { 

        // Turn requests into variables 
        $pass_curr = $_GET['password_current']; 
        $pass_new = $_GET['password_new']; 
        $pass_conf = $_GET['password_conf']; 

        // Sanitise current password input 
        $pass_curr = stripslashes( $pass_curr ); 
        $pass_curr = mysql_real_escape_string( $pass_curr ); 
        $pass_curr = md5( $pass_curr ); 

        // Check that the current password is correct 
        $qry = "SELECT password FROM `users` WHERE user='admin' AND password='$pass_curr';"; 
        $result = mysql_query($qry) or die('<pre>' . mysql_error() . '</pre>' ); 

        if (($pass_new == $pass_conf) && ( $result && mysql_num_rows( $result ) == 1 )){ 
            $pass_new = mysql_real_escape_string($pass_new); 
            $pass_new = md5($pass_new); 

            $insert="UPDATE `users` SET password = '$pass_new' WHERE user = 'admin';"; 
            $result=mysql_query($insert) or die('<pre>' . mysql_error() . '</pre>' ); 

            echo "<pre> Password Changed </pre>";         
            mysql_close(); 
        } 
        else{         
            echo "<pre> Passwords did not match or current password incorrect. </pre>";             
        } 
    } 
?>