首页 » 漏洞 » 玩转CSRF之挖洞实例分享

玩转CSRF之挖洞实例分享

 

本文首发i春秋论坛,原创作者:0h1in9e . 未经许可,禁止转载

0x01 前言

最近在挖SRC的时候经常遇到一些CSRF漏洞,发现其实掌握原理之后很容易挖到关于CSRF的漏洞。在平时的漏洞挖掘中,CSRF也没有太高的门槛,对于技术的要求也没那么高;另外,现在互联网上的CSRF漏洞还是相对较多的,就连一些大厂商SRC去挖的时候也能遇到一些CSRF漏洞,挖掘起来技术难度不高。另外,此篇难度不高,大牛请绕道。

0x02 CSRF简介

CSRF(Cross-site request forgery),跨站请求伪造。和XSS比较相似,但又不尽相同,XSS利用站点内的信任用户,而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。说白了,就是攻击者恶意构造了网站的某些操作,引诱用户去点击,从而在用户不知情的情况下做一些操作(攻击者盗用了你的身份,以你的名义发送恶意请求)。比如严重的有修改用户密码,管理员密码、添加管理员,甚至是转账等重要操作,一般的就很多了,比如修改用户信息、更改购物车、不知不觉改了你的收获地址……

下面以一张图来分析下具体的攻击过程(图片来自互联网):
玩转CSRF之挖洞实例分享
通过这张图,我们能大概了解CSRF的攻击过程如下:

  1. 用户C访问了Web A之后在本地储存了Cookie认证信息;
  2. 用户C被攻击者诱导访问了Web B上的恶意链接,这个恶意链接在Web A 上执行了恶意代码。

也就是说要完成CSRF的攻击,有两个条件:

  1. 用户本地含有正常网站的认证信息;
  2. 用户访问了恶意链接。

这里大概讲了一下CSRF的攻击原理,那么在具体的漏洞挖掘中,应该怎样去挖掘CSRF漏洞呢?

0x03 CSRF漏洞挖掘实例

一般来说,挖掘CSRF,只需要找到漏洞存在就可以了,不需要用构造的Payload去攻击用户。所以,挖洞就放在了如何找漏洞上边。那么下面我就分享下我在实战挖掘过程中总结的经验吧(不是很全,有没提到的大牛们可以补充在评论里哈)

**实例一 看我如何巧妙改掉你不顺眼的昵称 ** 在用户个人信息修改的地方,很容易出CSRF漏洞,如下如:
玩转CSRF之挖洞实例分享

首先没有CSRF Token,其次HTTP头里边referer经验证没有也可以(服务器端并未验证referer),接下来需要做的就是Burpsuit里边右键->Engagement Tools->Generate CSRF POC就可用POC去测试了。

**实例二 看我如何把商品加到你的购物车 ** 在商品添加购物车时并未做验证,可以利用漏洞让用户购物车加入任意商品。
玩转CSRF之挖洞实例分享
同样的套路,这里就不再赘余了。

实例三 看我如何改掉你的简历信息
某大公司有个招聘网站,用户需要填写简历然后投到相应的岗位。在没有做CSRF相关防护的情况下可以修改任意用户简历。
玩转CSRF之挖洞实例分享
同样的检测套路,这里用户简历相关信息全在POST里边了。只需要生成CSRF POC就可以验证这里的漏洞了。看到我里边很多信息写的是“CSRF Test”。

实例四 看我帮你留个言
玩转CSRF之挖洞实例分享

实例五 看我如何让你买的东西寄到我家
当然题目有点夸大,其实就是一个购物网站修改收货地址的CSRF漏洞
玩转CSRF之挖洞实例分享

……

还有很多我没概括到的,在测试的时候只需要测试敏感操作是否有CSRF验证即可:)

0x04 CSRF挖洞流程

  1. 首先就是对目标敏感部位进行抓包分析,比如修改信息、转账、添加信息等等。通常一个数据包HTTP请求头里边都会有一个Referer,这个需要特别去验证。比如放到Burpsuit Repeater里边去测试:去掉referer,看结果是否有变化。如果没有变化意味着这里的Referer服务器端并未验证,那就继续看下一步。
    玩转CSRF之挖洞实例分享
    玩转CSRF之挖洞实例分享

  2. 紧接着就是查看数据包是否存在类似CSRF token的字段、常见的有参数有csrf、token、sid……(一般这些字段的值都是随机字符串),如果没有的话就排除CSRF Token的验证了。转到下一步。

  3. 很多时候走完了上边两个流程其实就已经可以断定这里是存在CSRF的,不过还有一个隐蔽的地方。在某些操作对数据包的提交采用Ajax的情况,存在一种情况,就是数据包HTTP请求头会自定义一个字段,这个时候就像存在referer的情况一样,没办法csrf了。

针对这种情况我举个我遇到的例子吧:

在通过XSS盲打进入一个系统后台之后,对后台进行了简单的测试。其中对管理员添加的地方抓个包看看:
玩转CSRF之挖洞实例分享
经历了步骤一二之后,发现了隐藏在HTTP头里边的method:Save,意味着这里CSRF是不存在了。

经历了以上三步之后,基本你的CSRF漏洞就到手了:)

0x05 总结

漏洞挖掘还是比较注重实战经验,我挖洞周期也不长,经验有限。对于CSRF漏洞最近挖的比较多,这里就总结了一下经验。其实CSRF是最不需要你用各种工具的一个漏洞了,只需要一个Burpsuit,就可以开始了。一般来说,都是需要手工测试的。当然,CSRF还有些好用的半自动话工具,比如OWASP CSRFTester。也别觉得需要手工挖掘就很难。换个角度想,正因为需要手工,那些自动化程序才不容易检测到,这样挖洞重复率不就大大降低了么。

原文链接:玩转CSRF之挖洞实例分享,转载请注明来源!

0