【DVWA】Brute Force

其他 2021-03-28 10:05:05 阅读次数: 0

【DVWA】Brute Force



一、low级别

1、测试流程

方法一：burp

用brup抓包，发送到Intruder模块

image-20210302111914623

添加变量：

image-20210302111940694

设置payload与字典：

payload1 payload2
image-20210302112041310 image-20210302112058642

开始攻击：

image-20210302112252982 image-20210302112344602

成功爆破出用户名admin，和密码password


**方法二：**万能密码

用万能密码也可以：

利用sql注入漏洞，使用常见密码admin，构造payload：admin' #（#用于注释后面对于password的判断，使sql语句只查询admin然后返回TRUE）

实际执行的sql语句：SELECT * FROM users WHERE user = 'admin'

由于admin存在于users表中，所以返回结果为TRUE

image-20210302114606156

2、源码分析

<?php

if( isset( $_GET[ 'Login' ] ) ) {
    
     //仅检查了login参数是否存在，没有做防暴力破解的措施
    // Get username
    $user = $_GET[ 'username' ];

    // Get password
    $pass = $_GET[ 'password' ];
    $pass = md5( $pass );

    // Check the database
    $query  = "SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';";  //虽然对password进行了加密防止了sql注入，但是没有对user进行处理，所以可以利用sql注入漏洞用万能密码登录
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    if( $result && mysqli_num_rows( $result ) == 1 ) {
    
    
        // Get users details
        $row    = mysqli_fetch_assoc( $result );
        $avatar = $row["avatar"];

        // Login successful
        echo "<p>Welcome to the password protected area {
      
      $user}</p>";
        echo "<img src=\"{
      
      $avatar}\" />";
    }
    else {
    
    
        // Login failed
        echo "<pre><br />Username and/or password incorrect.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

二、Medium级别

1、测试流程

image-20210302115757728

使用上述方法用burp进行暴力破解时，发现速度非常之慢

用万能密码尝试也失败

2、源码分析

<?php

if( isset( $_GET[ 'Login' ] ) ) {
    
    
    // Sanitise username input
    $user = $_GET[ 'username' ];
    $user = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $user ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
//分别对user和password使用mysqli_real_escape_string()进行转义（x00，n，r，，’，”，x1a）
    // Sanitise password input
    $pass = $_GET[ 'password' ];
    $pass = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass = md5( $pass );

    // Check the database
    $query  = "SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    if( $result && mysqli_num_rows( $result ) == 1 ) {
    
    
        // Get users details
        $row    = mysqli_fetch_assoc( $result );
        $avatar = $row["avatar"];

        // Login successful
        echo "<p>Welcome to the password protected area {
      
      $user}</p>";
        echo "<img src=\"{
      
      $avatar}\" />";
    }
    else {
    
    
        // Login failed  //登陆失败后休眠2秒
        sleep( 2 );
        echo "<pre><br />Username and/or password incorrect.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

与low级别相比，上述代码采用了mysqli_real_escape_string()函数对username、password中敏感字符（x00，n，r，，’，”，x1a）进行转义，对sql注入有一定的防范作用（宽字节可绕过），而且登录失败后sleep(2)休眠2秒，使得暴力破解的时间成本加大，有一定防范作用，但仍可破解。


三、high级别

1、测试流程

首先用burp抓包：

image-20210302173526044

image-20210302174857416

发现多了一个参数值user_token

每次服务器返回登录页面时都会包含一个随机的user_token值，每次用户登录时都要将user_token一起提交。服务器收到请求后，会优先做token的检查，再进行sql查询，所以这种情况下暴力破解的请求数据包必须包含随机值user_token，那么获取user_token就是绕过的关键点。

方法一：burp爆破（Grep-Extract）

将抓到的数据包发送到Intruder模块

image-20210302190257230

选择Pitchfork模式（不能选择Clusterbomb模式，因为该模式会将token值代入password交叉爆破，这是我们不希望看到的），将password值添加到payload1，将user_token值添加到payload2，将username参数值改为admin（假设我们已经知道用户名为admin）

image-20210302191636647

在选项模块将线程数设置为1，因为token值的限制，所以需要逐个去爆破

image-20210302191107860

在Grep-Extract模块选择添加

image-20210302191308008

输入token值起止的标识符，点击OK

image-20210302191838552

添加payload，第一个payload添加密码字典，第二个payload添加递归搜索（Recursive grep）

image-20210302192507900

点击开始攻击：

image-20210302191949210

根据长度筛选正确的password

image-20210302192742113

如图所示，成功爆破！

优点：快速便捷

缺点：只能设置两个payload，所以只能在知道用户名和密码其中一个的情况下使用


方法二：burp爆破DVWA登录密码

首先试错登录，用burp抓包

试错登录 burp抓包
image-20210302201931419 image-20210302202002427

接着选择Project option(项目选项)模块中的Sessions标签，点击Marco(宏)的Add按钮添加宏，此时会弹出两个页面。

image-20210302202855310

弹出的两个页面，一个是Marco Editor(宏编辑器)，一个是Marco Recorder(宏记录器)。

上面的两个数据包一个GET一个POST，都是登录页面，但GET那个是用来请求token的，POST才是真正用来提交的用户名密码以及token的，选择GET消息那个报文，点击OK，进入Editor界面

image-20210302203507575

给宏起名，然后点击Configure item（项目设置）

在弹出的对话框中点击添加，添加要替换的字段。

image-20210302203724908

设置参数的名称和起止字符

image-20210302203902649

在Session Handing Rules（会话处理规则）模块中点击添加

image-20210302204147184

在弹出的对话框中，设置规则名，添加宏

image-20210302204335031

选择需要更新的参数

image-20210302204602395

选择使用范围：

image-20210302204706210

到此为止，宏就算录制完毕了

开始攻击：

将POST登录请求数据包发送到Intruder模块

image-20210302204945208

因为登录过程会有重定向，所以要在option选项卡中选择总是关注重定向

image-20210302205335437

然后设置变量：

设置Clusterbomb模式，将username和password设置为变量

image-20210302205512170

最后设置payload:

分别为username和password设置相应的字典：

image-20210302205732722

然后开始攻击：

image-20210302212215449

如图所示，爆破成功！

注意：涉及到token的暴力破解一定要设置为单线程。

2、源码分析

<?php

if( isset( $_GET[ 'Login' ] ) ) {
    
    
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Sanitise username input
    $user = $_GET[ 'username' ];
    $user = stripslashes( $user );
    $user = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $user ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Sanitise password input
    $pass = $_GET[ 'password' ];
    $pass = stripslashes( $pass );
    $pass = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass = md5( $pass );

    // Check database
    $query  = "SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    if( $result && mysqli_num_rows( $result ) == 1 ) {
    
    
        // Get users details
        $row    = mysqli_fetch_assoc( $result );
        $avatar = $row["avatar"];

        // Login successful
        echo "<p>Welcome to the password protected area {
      
      $user}</p>";
        echo "<img src=\"{
      
      $avatar}\" />";
    }
    else {
    
    
        // Login failed
        sleep( rand( 0, 3 ) );
        echo "<pre><br />Username and/or password incorrect.</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

// Generate Anti-CSRF token
generateSessionToken();

?>

stripslashes() 函数：删除由 addslashes()函数添加的反斜杠。

相比于medium级别，high级别增加了token验证机制，登陆时客户端会将token一同发送到服务器端，服务器校验成功后才会执行后面的sql语句。增加了爆破的难度，同时也预防了CSRF攻击。


三、impossible级别

源码分析

<?php

if( isset( $_POST[ 'Login' ] ) && isset ($_POST['username']) && isset ($_POST['password']) ) {
    
    
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // 获取并转义username参数值
    $user = $_POST[ 'username' ];
    $user = stripslashes( $user );
    $user = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $user ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // 获取并转义password参数值
    $pass = $_POST[ 'password' ];
    $pass = stripslashes( $pass );
    $pass = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $pass ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
    $pass = md5( $pass );

    // 设置一些默认值
    $total_failed_login = 3;  //登录失败的最大次数
    $lockout_time       = 15;  //账户锁定时间
    $account_locked     = false;

    // Check the database (Check user information)
    $data = $db->prepare( 'SELECT failed_login, last_login FROM users WHERE user = (:user) LIMIT 1;' );
    $data->bindParam( ':user', $user, PDO::PARAM_STR );
    $data->execute();
    $row = $data->fetch(); //返回一个索引为结果集列名和以0开始的列号的数组

    // Check to see if the user has been locked out.
    if( ( $data->rowCount() == 1 ) && ( $row[ 'failed_login' ] >= $total_failed_login ) )  {
    
    
        // User locked out.  Note, using this method would allow for user enumeration!
        //echo "<pre><br />This account has been locked due to too many incorrect logins.</pre>";

        // Calculate when the user would be allowed to login again
        $last_login = strtotime( $row[ 'last_login' ] ); 
        //strtotime() 函数将任何英文文本的日期或时间描述解析为 Unix 时间戳（自 January 1 1970 00:00:00 GMT 起的秒数）。
        $timeout    = $last_login + ($lockout_time * 60);
        $timenow    = time();

        /*
        print "The last login was: " . date ("h:i:s", $last_login) . "<br />";
        print "The timenow is: " . date ("h:i:s", $timenow) . "<br />";
        print "The timeout is: " . date ("h:i:s", $timeout) . "<br />";
        */

        // Check to see if enough time has passed, if it hasn't locked the account
        if( $timenow < $timeout ) {
    
    
            $account_locked = true;
            // print "The account is locked<br />";
        }
    }

    // Check the database (if username matches the password)
    $data = $db->prepare( 'SELECT * FROM users WHERE user = (:user) AND password = (:password) LIMIT 1;' );
    $data->bindParam( ':user', $user, PDO::PARAM_STR);
    $data->bindParam( ':password', $pass, PDO::PARAM_STR );
    $data->execute();
    $row = $data->fetch();

    // If its a valid login...
    if( ( $data->rowCount() == 1 ) && ( $account_locked == false ) ) {
    
    
        // Get users details
        $avatar       = $row[ 'avatar' ];
        $failed_login = $row[ 'failed_login' ];
        $last_login   = $row[ 'last_login' ];

        // Login successful
        echo "<p>Welcome to the password protected area <em>{
      
      $user}</em></p>";
        echo "<img src=\"{
      
      $avatar}\" />";

        // Had the account been locked out since last login?
        if( $failed_login >= $total_failed_login ) {
    
    
            echo "<p><em>Warning</em>: Someone might of been brute forcing your account.</p>";
            echo "<p>Number of login attempts: <em>{
      
      $failed_login}</em>.<br />Last login attempt was at: <em>${last_login}</em>.</p>";
        }

        // Reset bad login count
        $data = $db->prepare( 'UPDATE users SET failed_login = "0" WHERE user = (:user) LIMIT 1;' );
        $data->bindParam( ':user', $user, PDO::PARAM_STR );
        $data->execute();
    } else {
    
    
        // Login failed
        sleep( rand( 2, 4 ) );

        // Give the user some feedback
        echo "<pre><br />Username and/or password incorrect.<br /><br/>Alternative, the account has been locked because of too many failed logins.<br />If this is the case, <em>please try again in {
      
      $lockout_time} minutes</em>.</pre>";

        // Update bad login count
        $data = $db->prepare( 'UPDATE users SET failed_login = (failed_login + 1) WHERE user = (:user) LIMIT 1;' );
        $data->bindParam( ':user', $user, PDO::PARAM_STR );
        $data->execute();
    }

    // Set the last login time
    $data = $db->prepare( 'UPDATE users SET last_login = now() WHERE user = (:user) LIMIT 1;' );
    $data->bindParam( ':user', $user, PDO::PARAM_STR );
    $data->execute();
}

// Generate Anti-CSRF token
generateSessionToken();

?>

impossible级别设置了防CSRE的token，做了PDO的参数化和预处理防止了SQL注入，还限制了最大失败登录的次数为三次，超过三次账户则会被锁定15分钟，有效防止了暴力破解。

猜你喜欢

转载自blog.csdn.net/qq_43665434/article/details/114299736
今日推荐
NetBSD 禁止提交由 AI 生成的代码
Apache Doris 2.0.10 版本正式发布！
开源日报 | 大模型开战；大模型独角兽被曝卖身；周鸿祎建议谷歌开源所有产品；最大开源AI社区提供1000万美元共享GPU
开源日报 | Chrome内置Gemini的意义不在于Gemini；中国AI追随之路的五大误区；ECharts创始人“下海”养鱼；谷歌I/O开发者大会什么都有，只是没有惊喜
微软回应中国区AI团队“打包赴美”传闻
基于大语言模型的开源知识库问答系统 MaxKB GitHub Star 数量突破 5,000 个！
周排行
女程序员是这样被恶搞的
B/S 和 C/S 的优缺点
vector一直申请会怎样？
座头鲸识别比赛(Humpback Whale Identification)总结
Linux高性能服务器编程——I/O复用 select
Mysql连接数据库（当包使用）
通过URI获取的文件路径为null的解决方法
1022-Primes on Interval(素数筛选+二分查找) ZCMU
Python出现： TypeError: expected string or buffer
bzoj2434: [Noi2011]阿狸的打字机 ac自动机+树状数组
每日归档
更多
2024-05-18(4)
2024-05-17(34)
2024-05-16(6)
2024-05-15(24)
2024-05-14(0)
2024-05-13(18)
2024-05-12(0)
2024-05-11(38)
2024-05-10(38)
2024-05-09(35)

代码天地 © 2018 codetd.com

境外服务器   最新电视剧2022