详解CSRF漏洞攻击
Posted YNET安全包
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了详解CSRF漏洞攻击相关的知识，希望对你有一定的参考价值。
为什么要拿CSRF来当“攻击手法系列”的开头篇呢？因为CSRF/XSRF我个人喜爱他的程度已经超过XSS了。如果说XSS是一个老虎，那么CSRF就是隐藏在暗处的蛇。
相信现在很多人不明白CSRF是怎么运作，他和XSS的不同是在哪里。我这里就逐步为大家解释，并从浅入深的介绍CSRF。
入门
我们先来看看CSRF和XSS的工作原理，先让大家把这两个分开来。
XSS：
攻击者发现XSS漏洞——构造代码——发送给受害人——受害人打开——攻击者获取受害人的cookie——完成攻击
CSRF：
攻击者发现CSRF漏洞——构造代码——发送给受害人——受害人打开——受害人执行代码——完成攻击
而且XSS容易发现，因为攻击者需要登录后台完成攻击。管理员可以看日志发现攻击者。
而CSRF则不同，他的攻击一直是管理员自己实现的，攻击者只负责了构造代码。
我这只是简单的说明下流程。大伙应该发现CSRF少了一个 获取受害人的cookie的步骤。为什么会少了呢。因为受害人在执行代码的时候就已经完成的攻击，而攻击者并没有参与进来。
相信这时大伙已经明白CSRF和XSS的区别了，不是太明白也没事，下面还有。
接下来我先给大家介绍一个软件，在运用实例来详细的说明CSRF。
OWASP CSRFTester：
这是OWASP推出的CSRF半自动化软件，他省去了CSRF最繁琐的过程，代码构造。下面是软件的截图
这款软件是由java编写的，所以在运行软件之前需要事先安装java环境，cmd窗口是告诉我们此时软件正在监听8008端口。软件的大致介绍就到这，后文我将进一步的说明。
这里我选择了“XYCMS中心小学建站系统”-----私密
###此处有图，自我脑补###
OK，我们进入后台a.cn:88/admin，账号密码默认都是admin。进入后台，我们选择“管理员管理”
我想细心的人已经发现了。他只要求你输入账号 密码 确认密码。没有发现验证码验证。我们在浏览器里代理下8008端口(虽然网站是88端口，但是还是可以监听到数据，所以不必在意网站是88，软件监听的是8008的问题。因为在浏览器里任何数据都必须要经过8008，网站虽说是88端口，但是数据还要转到8008端口)。然后用软件看下有没有token的存在(你也可以用burp、fiddler等等)。
点击开始
我们在网站里输入账号和密码。
点击提交数据后，软件就会抓到数据包了。
下面4个是傲游浏览器发送的，把他们删除。第二个是跳转，我们也把他删除。
我们发现并没有找到token的值，那么我们就可以来实现CSRF攻击了。
看到下面的Report Type了么。这些是让你选择用什么方法来进行攻击。
Forms：创建一个form表单。内容为hidden(隐藏)，用户不可见（可POST、GET）
iFrame：创建一个iframe框架，高宽为0，用户不可见。（可POST、GET）
IMG：创建一个IMG标签(只能GET)。
XHR：创建一个AJAX请求(可POST、GET)
Link：创建一个a标签的超链接(只能GET)
OK，介绍完了。但是呢，这五个里，我只推荐第一个。原因有下：
第二个容易找不到对象(如果你是新手，对javascript不熟的话，不建议选择这个)
第三个只能发送GET请求，有限制。
第四个有跨域限制，有的浏览器不允许发送跨域请求，除非网站有设置。
第五个需要点击才能触发(当然可以修改为自动触发)，还有一个是他也只能发送GET请求。
Ok，我这时选择forms选项，他会生成一个html文件，而且会自动打开，如果不成功不要灰心，这个软件不是特别的完整，有些地方需要改进。不成功的话就打开HTML改下源码，参照浏览器的审查元素就行。
点击Generate HTML来生成，生成好后，把生成的index.html放到b.cn下。诱使管理员打开，管理员打开后，将会是这样：
成功了，我们在后台看下。
可以看到成功添加了。
我们可以把这个index.html放到自己服务器上，又是管理员打开，然后了管理员当时正在后台，或则管理员的session没有过期，你可以在网站留言板里吧网址写上去。就可以完成CSRF攻击了。
这里我不用上面这个软件，再完成一次攻击
我想入侵一个网站，得知这个网站使用的是XYCMS，于是我在网上把XYCMS源码下载下来，分析下。我发现在后台添加管理员的地方没有token验证，于是我就走上了构造带代码一路。
F12看下添加管理员的链接是什么
打开此链接就是添加管理员的地方。
Ctrl+U 看下源代码，把form标签里的内容全部复制下来，放到本地的html文件里。去掉没用的代码。就像下面这样：
OK，现在我们来改下，把action改成目标网站(a.cn)，然后在input类型为text的地方，加上Value的值，这个值就是你要添加的管理员账号和密码，改后为：
我们打开测试下，看能不能添加管理员
点击“提交数据”
添加成功了，剩下的就是自动提交了，这里就要用到JavaScript了。
打开后，自动添加了。接下来就是让表单隐藏，我们加个style让form为隐藏就行了。像下面这样：
一个csrf网页就完成了，上传到b.cn，诱使管理员打开就行了。
进阶
相信细心的人已经发现上面是一个1.html文件，需要诱使管理员打开，而且他还有弹窗。太被动了，想用ajax来发送吧，又需要跨域。怎么办呢？这里我们可以结合XSS来完成攻击。
在之前XSS系列我说过一句话“XSS就是让对方执行你的JS代码”，聪明的人已经想到了，那就是把CSRF的AJAX请求放到XSS里，以达到攻击的效果，具体怎么做到呢，看完这一节，你就会了。
首先你要挖到一个XSS漏洞(反射、储蓄都行，当然储蓄更好。因为这个CMS特别小众，几乎没人用，所以在前年挖到这个漏洞时，就一直放那没动过)。找到一个储蓄型XSS，在根目录的add_book.asp文件里。
rs("title")=trim(request.form("title"))rs("sh")=request.form("sh")rs("ly_name")=trim(request.form("ly_name"))rs("tel")=trim(request.form("tel"))rs("email")=trim(request.form("email"))rs("body")=trim(request.form("body"))
OK，因为上一节已经说了添加管理员无认证的漏洞了，我也就不多说了。
提交的时候抓包下，然后根据数据包来写ajax代码(之所以没用那个软件来生成，是让大家更加深刻，同时也不要太依赖软件)
下面就是我自己写的一个ajax：
var xmlhttp;if(window.XMLHttpRequest){ xmlhttp=new XMLHttpRequest(); }else{ xmlhttp=new ActiveXObject("Microsoft.XMLHTTP"); }xmlhttp.open("POST","/admin/admin_manage.asp?act=add",true);xmlhttp.setRequestHeader("Content-type","application/x-www-form-urlencoded");xmlhttp.send("admin=123&password=admin&password3=admin&button=提交数据");
OK，我们去留言板上插吧。
之所以没用全插，是因为这样做的话，管理员一打开就会多插几个账号。
管理员打开后的样子，这时候其实已经在后台添加了管理员。
深入
我之前在http://www.freebuf.com/articles/web/55505.html和http://www.freebuf.com/articles/web/54686.html谈到过插件安全。这里我教大家一个猥琐的CSRF技巧。
现在的我掌握了这个CMS的CSRF漏洞，我想让所有使用这个CMS的网站全部添加管理员怎么办呢？我们可以用插件。
首先建立一个ceshi目录，在里面建立一个def.json文件，内容如下：
然后我们在同目录下建立一个test.js文件，在里面写入下面这些代码：
for的存在是让他只运行一次，只不过因为这个是在插件里，当你打开一次页面他就会重新加载这个js。也就是说，如果管理员一直刷新页面，那么就会出现和刷新次数一样的账户，之所以加for是因为如果你不加，刷新一次会添加几个账户，而不是一个。
然后用MxPacker软件打包成maxthon插件，双击安装后，就会发现已经在后台添加了账户。
如果你账务了几个CMS的CSRF漏洞，那么你可以结合到一个插件里，价格if判断是哪个CMS就用哪段CSRF攻击代码。
注意
攻击者事先要知道对方使用的是哪个CMS。像那些自己写的，网上没有的程序。几乎不可能用CSRF来完成攻击。
index.html源码下载：
Index.js下载：
遨游插件结合CSRF(包括了MxPacker)：
YNET安全包，无形防护盾！
YNET安全包 YNETsafebag
长按识别上侧二维码， 记得关注我们哟！
以上是关于详解CSRF漏洞攻击的主要内容，如果未能解决你的问题，请参考以下文章