DVWA Insecure CAPTCHA

0x01.INSECURE CAPTCHA(Low)

相关代码分析

if( isset( $_POST[ 'Change' ] ) && ( $_POST[ 'step' ] == '1' ) ) {// Hide the CAPTCHA form$hide_form = true;// Get input$pass_new  = $_POST[ 'password_new' ];$pass_conf = $_POST[ 'password_conf' ];// Check CAPTCHA from 3rd party$resp = recaptcha_check_answer($_DVWA[ 'recaptcha_private_key'],$_POST['g-recaptcha-response']);// Did the CAPTCHA fail?if( !$resp ) {// What happens when the CAPTCHA was entered incorrectly$html     .= "

The CAPTCHA was incorrect. Please try again.

";$hide_form = false;return;}else {// CAPTCHA was correct. Do both new passwords match?if( $pass_new == $pass_conf ) {// Show next stage for the user$html .= "


You passed the CAPTCHA! Click the button to confirm your changes.

";}else {// Both new passwords do not match.$html .= "

Both passwords must match.

";$hide_form = false;}}}if( isset( $_POST[ 'Change' ] ) && ( $_POST[ 'step' ] == '2' ) ) {// Hide the CAPTCHA form$hide_form = true;// Get input$pass_new = $_POST[ 'password_new' ];$pass_conf = $_POST[ 'password_conf' ];// Check to see if both password matchif( $pass_new == $pass_conf ) {// They do!$pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));$pass_new = md5( $pass_new );// Update database$insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";$result = mysqli_query($GLOBALS["___mysqli_ston"], $insert ) or die( '

' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '

' );// Feedback for the end user$html .= "

Password Changed.

";}else {// Issue with the passwords matching$html .= "

Passwords did not match.

";$hide_form = false;}((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);}?>

可以看到,服务器将改密操作分成了两步,第一步检查用户输入的验证码,验证通过后,服务器返回表单,第二步客户端提交post请求,服务器完成更改密码的操作。但是,这其中存在明显的逻辑漏洞,服务器仅仅通过检查Change、step 参数来判断用户是否已经输入了正确的验证码。

通过构造参数绕过验证过程的第一步

首先输入密码,点击Change按钮,抓包:

DVWA Insecure CAPTCHA

(ps:因为没有翻墙,所以没能成功显示验证码,发送的请求包中也就没有recaptcha_challenge_field、recaptcha_response_field两个参数)

更改step参数为2绕过验证码:

DVWA Insecure CAPTCHA

修改密码成功:

DVWA Insecure CAPTCHA

0x02.INSECURE CAPTCHA(Medium)

相关代码分析

DVWA Insecure CAPTCHA

可以看到,Medium级别的代码在第二步验证时,参加了对参数passed_captcha的检查,如果参数值为true,则认为用户已经通过了验证码检查,然而用户依然可以通过伪造参数绕过验证,本质上来说,这与Low级别的验证没有任何区别。

1.可以通过抓包,更改step参数,增加passed_captcha参数,绕过验证码。

抓到的包:

DVWA Insecure CAPTCHA

更改之后的包:passed_captcha=true

DVWA Insecure CAPTCHA

更改密码成功:

DVWA Insecure CAPTCHA

0x03.INSECURE CAPTCHA(High)

相关代码分析

DVWA Insecure CAPTCHA

在High级别中,  去掉了逻辑漏洞的成因----step,  而且加入了防CSRF机制。 

DVWA Insecure CAPTCHA

漏洞利用

仔细审查代码,  可以看到服务器的验证逻辑是当参数 resp(这里是指谷歌验证码返回的验证结果)是false,并且参数recaptcha_response_field不等于hidd3n_valu3(或者http包头的User-Agent参数不等于reCAPTCHA)时,就认为验证码输入错误,反之则认为已经通过了验证码的检查。

弄清楚了逻辑,  存在的逻辑漏洞就是 || (异或条件),  只要我们抓包修改一下参数值:

recaptcha_response_field=hidd3n_valu3

User-Agent: reCAPTCHA

再提交就可以绕过了:

先抓包

DVWA Insecure CAPTCHA

修改后的包

DVWA Insecure CAPTCHA

由于有墙,未能复现成功

DVWA Insecure CAPTCHA

0x04.INSECURE CAPTCHA(High)

相关代码分析

DVWA Insecure CAPTCHA

可以看到,Impossible级别的代码增加了Anti-CSRF token 机制防御CSRF攻击

DVWA Insecure CAPTCHA

利用PDO技术防护sql注入,验证过程终于不再分成两部分了,验证码无法绕过,同时要求用户输入之前的密码,进一步加强了身份认证。

0x05.写在最后

免责声明:本站提供的安全工具、程序(方法)可能带有攻击性,仅供安全研究与教学之用,风险自负!本文部分内容来自网络,在此说明。

转载声明:著作权归作者所有。商业转载请联系作者获得授权,非商业转载请注明出处。

欢迎关注公众号:24h进德修业,一名普通的白帽子,维护着一个既讲技术又有温度的原创号,一如既往地学习和分享,希望能够给大家带来帮助,前行的道路上感谢有您的关注与支持。


版权归原作者所有,如若转载,请注明出处:https://www.ciocso.com/article/532.html

发表评论

登录后才能评论
跳至工具栏