代码审计中的CSRF

0x00 背景

CSRF漏洞中文名为“跨站请求伪造”，英文别名为“one-click-attack”。从字面上我们就可以看出，这是一种劫持其他用户进行非法请求的攻击方式，主要用于越权操作，与XSS相比更具有危险性。本文以代码审计的形式研究CSRF的原理、挖掘形式、防御方案及缺陷。

0x01 CSRF漏洞的产生原理

CSRF通过伪装成受信任用户的请求来利用受信任的网站，具体案例如下：

 1 <?php 
 2 
 3 if( isset( $_GET[ 'Change' ] ) ) { 
 4     // Get input 
 5     $pass_new  = $_GET[ 'password_new' ]; 
 6     $pass_conf = $_GET[ 'password_conf' ]; 
 7 
 8     // Do the passwords match? 
 9     if( $pass_new == $pass_conf ) { 
10         // They do! 
11         $pass_new = mysql_real_escape_string( $pass_new ); 
12         $pass_new = md5( $pass_new ); 
13 
14         // Update the database 
15         $insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';"; 
16         $result = mysql_query( $insert ) or die( '<pre>' . mysql_error() . '</pre>' ); 
17 
18         // Feedback for the user 
19         echo "<pre>Password Changed.</pre>"; 
20     } 
21     else { 
22         // Issue with passwords matching 
23         echo "<pre>Passwords did not match.</pre>"; 
24     } 
25 
26     mysql_close(); 
27 } 
28 
29 ?>

这是一段密码修改的PHP程序，我们可以看出当password_new与password_conf一致时，程序就会进行修改密码的操作，这时如果我们构造这样一个URL：

http://127.0.0.1/csrf/?password_new=password&password_conf=password&Change=Change#

将URL发送给一个该网站的用户，当他点击了这个链接后，他的密码就会自动修改为password。在现实环境中，黑客往往会把攻击流程做得更隐秘一些，例如制作一个页面，代码如下：

1 <img src="http://127.0.0.1/csrf/?password_new=hack&password_conf=hack&Change=Change#" border="0" style="display:none;"/>
2 
3 <h1>404<h1>
4 
5 <h2>file not found.<h2>

这样就可以做到隐秘得进行攻击了。

0x02 CSRF的挖掘形式

上文提到了CSRF大多数都与越权操作相关，那么我们在代码审计的时候只需要重点关注相关功能，包括：后台管理、论坛等功能。因为现在绝大多数的网站采用token验证，在审计的过程中我们可以直接在功能的核心文件内搜索token，如果没有token验证，那么这个功能大概率会出现CSRF。

黑盒测试的思路与代码审计基本一致，在关键功能处抓包查看有没有token验证，如果没有再次请求这个页面，删去referer，如果返回数据一致，那么大概率会出现CSRF。

0x03 防御方案及缺陷

防御CSRF就是避免服务器对用户的绝对信任，要对用户进行身份验证。现在我们验证用户身份的方式往往是加入Token，中文名为令牌，是一种写入Cookie或者页面的不可预测的字符串。采用token验证的程序效果往往比较明显。

我们只需要在上面代码获取password_new之前插入

checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

就可以有效进行防御，除非结合其他漏洞。