sqlmap绕过CSRF检测进行注入

最近在准备比赛,打sqlilabs时看了一下sqlmap的wiki,发现了–csrf-token和–csrf-url的参数,于是写了个php版本的bug试了一试。
同时也了解了一下大家对csrf注入的普遍做法:sqlmap+burp正则匹配,两相比较,还是sqlmap自带的功能比较方便。


写一个bug

CSRF的普遍防御方法是增加anti-csrf token,也就是一串不可预测的字符串。于是动手写了一个php版本防csrf的sqli脚本,这里写的并不规范,时间戳是可以被预测的,而且此脚本可以被绕过token检测,有兴趣可以琢磨一下。

<?php
    session_start();
    //生成随机token
    $token = md5(time());
    //获取name参数
    $name = isset($_GET['name']) ? $_GET['name']: '';

    //校验token
    if ($_GET['token'] == $_SESSION['token']) {
        //执行sql语句
        $mysqli = new mysqli("127.0.0.1","root","root");
        $mysqli->select_db("test");
        if (!$mysqli->connect_error) {
            $query = "select * from admin where username = '$name'";
            $result = $mysqli->query($query);
            if (!$mysqli->error) {
                while ($row = $result->fetch_row()) {
                    echo $row;
                }
            } else {
                echo $mysqli->error;
            }
        } else {
            echo $mysqli->connect_error;
        }
        $mysqli->close();
    } else {
        echo "no token";
    }

    //以hidden表单元素的形式输出token
    echo "<input type=\"hidden\" name=\"token\" value=\"$token\">";
    //刷新SESSION中token
    $_SESSION['token'] = $token;

?>

漏洞利用

sqlmap 中有这样两个参数

  • –csrf-token=”token_name”,指定随机化token的参数名
  • –csrf-url=”http://x.x.x.x/page”,指定获取token值的地址

如果没有指定–csrf-url,则默认从当前页面获取token。先来看看不指定token时,sqlmap的输出:

sqlmap -u "http://192.168.154.134/tokensql.php?name=admin&token=123" --flush-session

sqlmap根据关键字,识别出了token参数,但是默认不获取token,没有发现注入点。

再来看看指定token时的输出:

sqlmap -u "http://192.168.154.134/tokensql.php?name=admin&token=123" --flush-session --csrf-token="token"

确认了注入的存在,并且在wireshark中观察到token被sqlmap自动更新

在这个demo中,获取token的页面和注入点相同,在真实场景中,可能需要单独获取token值,这时要用到–csrf-url=<url>的参数。

所以使用以下命令,效果也是一样的:

sqlmap -u "http://192.168.154.134/tokensql.php?name=admin&token=123" --flush-session --csrf-token="token" --csrf-url="http://192.168.154.134/tokensql.php"