安全性测试入门 (三)：CSRF 跨站请求伪造攻击和防御

时间：2019-10-12 13:19:28 阅读：95 评论：0 收藏：0 [点我收藏+]

标签：即时聊天 ken title 客户端 mat mamicode rto 目的 source

安全性测试入门 (三)：CSRF 跨站请求伪造攻击和防御

本篇继续对于安全性测试话题，结合DVWA进行研习。

CSRF（Cross-site request forgery）：跨站请求伪造

技术图片

1. 跨站请求伪造攻击

CSRF则通过伪装成受信任用户的请求来利用受信任的网站，诱使用户使用攻击性网站，从而达到直接劫持用户会话的目的。

技术图片

由于现在的主流浏览器比如火狐和谷歌，都倾向于使用单个进程来管理用户会话（比如我们在FF和Chrome中，当要访问一个新页面时，通常是通过新增浏览器页面来达到的，而不是新开一个浏览器客户端进程），所以攻击者就可以通过用户新开的页面来劫持用户的已有cookie等关键信息。
常见的攻击形式，是通过邮件，QQ等即时聊天工具，给被攻击对象发送伪造链接。被攻击者一旦访问了该恶意链接，攻击即生效。

DVWA的相应模块中，使用一个密码修改功能来展示了CSRF攻击的可能性。

技术图片

构造攻击

我们观察上述密码修改功能所触发的请求：

技术图片

可以看到这个请求非常之简单，所需传递的只有三个参数

password_new
password_conf
change

那么如果攻击者直接构造这样一条请求交给被攻击者去执行会怎么样？
比如我构造这样一条URL：

技术图片

如果被攻击者傻呵呵的点击了，那么恭喜他，他的密码就已经被我改成"attackerpw"了。
当然了，这个链接的攻击意图过于明显了，攻击者还可以通过伪装一下这个链接，从而达到神不知鬼不觉的目的。

比如通过缩短链接服务：

技术图片

比如通过构建一个带有攻击代码的页面，诱使被攻击者访问：

技术图片

上图看起来就是个不明所以的网页？但实际上访问到网页的时候红框部分的攻击代码就已经生效了！

2.CSRF的防御

下面我们看一看DVWA是如何防御跨站脚本伪造的：
Medium级别防御

<?php

if( isset( $_GET[ ‘Change‘ ] ) ) {
    // Checks to see where the request came from
    if( stripos( $_SERVER[ ‘HTTP_REFERER‘ ] ,$_SERVER[ ‘SERVER_NAME‘ ]) !== false ) {
        // Get input
        $pass_new  = $_GET[ ‘password_new‘ ];
        $pass_conf = $_GET[ ‘password_conf‘ ];

        // Do the passwords match?
        if( $pass_new == $pass_conf ) {
            // They do!
            $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
            $pass_new = md5( $pass_new );

            // Update the database
            $insert = "UPDATE `users` SET password = ‘$pass_new‘ WHERE user = ‘" . dvwaCurrentUser() . "‘;";
            $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( ‘<pre>‘ . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . ‘</pre>‘ );

            // Feedback for the user
            $html .= "<pre>Password Changed.</pre>";
        }
        else {
            // Issue with passwords matching
            $html .= "<pre>Passwords did not match.</pre>";
        }
    }
    else {
        // Didn‘t come from a trusted source
        $html .= "<pre>That request didn‘t look correct.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

可以看到中级防御机制，关键在于以下部分：

技术图片

即判断请求来源，如果类似修改密码的这种请求来自于未知第三方地址，那么则不执行修改逻辑。
这是不难绕过的，只需在攻击页面中加入HTTP_REFERER并使其与被攻击server一致即可。

High级别防御

<?php

if( isset( $_GET[ ‘Change‘ ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ ‘user_token‘ ], $_SESSION[ ‘session_token‘ ], ‘index.php‘ );

    // Get input
    $pass_new  = $_GET[ ‘password_new‘ ];
    $pass_conf = $_GET[ ‘password_conf‘ ];

    // Do the passwords match?
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update the database
        $insert = "UPDATE `users` SET password = ‘$pass_new‘ WHERE user = ‘" . dvwaCurrentUser() . "‘;";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( ‘<pre>‘ . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . ‘</pre>‘ );

        // Feedback for the user
        $html .= "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        $html .= "<pre>Passwords did not match.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

// Generate Anti-CSRF token
generateSessionToken();

?>

嘞了嘞了，耳熟能详的Token他来了：

技术图片

用户每次访问页面，服务器会随机生成一个Token，相当于用户的身份牌。只有身份牌验证通过，功能逻辑才执行。
Token是现在很流行的令牌机制，但是他也是一种比较简单的机制，绝非无懈可击。接口测试做的多的话应该能感受到，我们接口测试中经常会对Token做传递处理。
实际token就在网页元素里面，如下图所示

技术图片