Добро пожаловать обратно, мои начинающие кибервоины!
В этой серии статей о взломе веб-приложений мы продолжаем изучать способы взлома веб-приложений (приложений). В этом руководстве мы рассмотрим подделку межсайтовых запросов (CSRF). CSRF — это атака, при которой злоумышленник наследует учетные данные и привилегии законного пользователя, чтобы перенаправить браузер на другой веб-сайт или выполнить действие на другом веб-сайте. Для многих сайтов запросы браузера пользователя содержат учетные данные для этого сайта в виде cookie-файла или IP-адреса. Например, если пользователь уже прошел аутентификацию на веб-сайте своего банка, злоумышленник может направить перевод средств с этого счета без участия пользователя или даже без его ведома. Вы можете представить себе атаку CSRF как нечто похожее на взлом вашей карты банкомата, а затем, после того как вы прошли аутентификацию и вошли в банкомат, заставить выполнить действие, которое вы не инициировали или не авторизовали.
В этом руководстве мы будем использовать DVWA для перенаправления браузера пользователя на страницу смены пароля. Можно только представить, какие проблемы могла бы создать такая атака в реальном мире, предоставив злоумышленнику доступ к конфиденциальному сайту или учётной записи.
Шаг №1: Запустите Kali и Metasploitable и войдите в DVWA
При подключении к приложению DVWA на Metasploitable вы увидите экран, подобный показанному ниже. Логин — «admin», пароль — «password».
Убедитесь, что вы установили уровень безопасности на «низкий».
Шаг №2: Выберите CSRF в DVWA
Затем нажмите на вкладку CSRF слева от приложения DVWA.
Вас должен приветствовать экран, подобный показанному выше, с предложением «изменить пароль администратора». Мы будем использовать CSRF-атаки для изменения пароля администратора без его ведома.
Чтобы понять, как этот сайт меняет пароли, мы воспользуемся прокси-сервером, например, BurpSuite. Убедитесь, что прокси-сервер включен в вашем браузере, а затем запустите Burp Suite.
Когда вы вводите новый пароль в DVWA и нажимаете «Изменить», будет отправлен запрос на смену пароля администратора (мы меняем его на «hackersarise»). Мы можем перехватить этот запрос с помощью Burp Suite, как показано ниже.
Команда для смены пароля в этом приложении:
/dvwa/vulnerabilities/csrf/?password_new=hackersarise&password_conf=hackersarise&Change=Изменить
Наша цель — заставить браузер пользователя выполнить эту команду незаметно для пользователя и изменить его пароль.
Шаг №3: Создайте вредоносный веб-сайт и внедрите команду смены пароля
Теперь, когда мы понимаем, как приложение меняет пароли, мы можем использовать эту информацию для манипулирования браузером пользователя, делая это незаметно для него.
Давайте создадим веб-сайт, интегрированный с командой смены пароля. В текстовом редакторе откройте /var/www/html/index.html и создайте следующую страницу.
Обратите внимание, что мы интегрировали URL/команду в тег изображения с настройкой «display:none». Это позволяет скрыть URL/команду от конечного пользователя при открытии этой страницы. С точки зрения жертвы, сайт не содержит ничего вредоносного.
Шаг №4: Побуждайте пользователя посетить веб-страницу
Теперь нам нужно убедить пользователя посетить наш веб-сайт. Это можно сделать с помощью ссылки, отправленной по электронной почте, или с помощью другого метода социальной инженерии. В некоторых случаях злоумышленник может просто искать случайных пользователей для атаки и полагаться только на обычный веб-трафик, чтобы контролировать их браузер.
Вот как наша веб-страница выглядит для жертвы.
Когда конечный пользователь нажимает на ссылку, он видит указанную выше веб-страницу. Обратите внимание, что URL/команда для смены пароля жертве не видны.
Если жертва щёлкнет правой кнопкой мыши по странице и выберет «Просмотреть исходный код», вредоносная команда будет видна. Мало кто знает, как это сделать, а те, кто знает, вряд ли поймут, что они
видят.
Шаг №5: Попробуйте снова войти в DVWA.
Теперь, когда жертва пытается снова войти в приложение DVWA, используя свои старые учетные данные (администратор, пароль), приложение отклоняет ее учетные данные, поскольку ее учетные данные были изменены, когда она посетила веб-сайт «Nigerian Prince»!
Теперь, когда злоумышленник попытается войти в приложение с новым паролем (хакерская атака)… Успех!
Заключение
Подделка межсайтовых запросов (CSRF) — одна из самых серьёзных атак на веб-приложения. Она заставляет браузер пользователя выполнять действия, не инициированные или не авторизованные пользователем. Это может привести к таким действиям, как вход в конфиденциальные учётные записи, перевод средств или смена паролей.
В этой серии статей о взломе веб-приложений мы продолжаем изучать способы взлома веб-приложений (приложений). В этом руководстве мы рассмотрим подделку межсайтовых запросов (CSRF). CSRF — это атака, при которой злоумышленник наследует учетные данные и привилегии законного пользователя, чтобы перенаправить браузер на другой веб-сайт или выполнить действие на другом веб-сайте. Для многих сайтов запросы браузера пользователя содержат учетные данные для этого сайта в виде cookie-файла или IP-адреса. Например, если пользователь уже прошел аутентификацию на веб-сайте своего банка, злоумышленник может направить перевод средств с этого счета без участия пользователя или даже без его ведома. Вы можете представить себе атаку CSRF как нечто похожее на взлом вашей карты банкомата, а затем, после того как вы прошли аутентификацию и вошли в банкомат, заставить выполнить действие, которое вы не инициировали или не авторизовали.
В этом руководстве мы будем использовать DVWA для перенаправления браузера пользователя на страницу смены пароля. Можно только представить, какие проблемы могла бы создать такая атака в реальном мире, предоставив злоумышленнику доступ к конфиденциальному сайту или учётной записи.
Шаг №1: Запустите Kali и Metasploitable и войдите в DVWA
При подключении к приложению DVWA на Metasploitable вы увидите экран, подобный показанному ниже. Логин — «admin», пароль — «password».
Убедитесь, что вы установили уровень безопасности на «низкий».
Шаг №2: Выберите CSRF в DVWA
Затем нажмите на вкладку CSRF слева от приложения DVWA.
Вас должен приветствовать экран, подобный показанному выше, с предложением «изменить пароль администратора». Мы будем использовать CSRF-атаки для изменения пароля администратора без его ведома.
Чтобы понять, как этот сайт меняет пароли, мы воспользуемся прокси-сервером, например, BurpSuite. Убедитесь, что прокси-сервер включен в вашем браузере, а затем запустите Burp Suite.
Когда вы вводите новый пароль в DVWA и нажимаете «Изменить», будет отправлен запрос на смену пароля администратора (мы меняем его на «hackersarise»). Мы можем перехватить этот запрос с помощью Burp Suite, как показано ниже.
Команда для смены пароля в этом приложении:
/dvwa/vulnerabilities/csrf/?password_new=hackersarise&password_conf=hackersarise&Change=Изменить
Наша цель — заставить браузер пользователя выполнить эту команду незаметно для пользователя и изменить его пароль.
Шаг №3: Создайте вредоносный веб-сайт и внедрите команду смены пароля
Теперь, когда мы понимаем, как приложение меняет пароли, мы можем использовать эту информацию для манипулирования браузером пользователя, делая это незаметно для него.
Давайте создадим веб-сайт, интегрированный с командой смены пароля. В текстовом редакторе откройте /var/www/html/index.html и создайте следующую страницу.
Обратите внимание, что мы интегрировали URL/команду в тег изображения с настройкой «display:none». Это позволяет скрыть URL/команду от конечного пользователя при открытии этой страницы. С точки зрения жертвы, сайт не содержит ничего вредоносного.
Шаг №4: Побуждайте пользователя посетить веб-страницу
Теперь нам нужно убедить пользователя посетить наш веб-сайт. Это можно сделать с помощью ссылки, отправленной по электронной почте, или с помощью другого метода социальной инженерии. В некоторых случаях злоумышленник может просто искать случайных пользователей для атаки и полагаться только на обычный веб-трафик, чтобы контролировать их браузер.
Вот как наша веб-страница выглядит для жертвы.
Когда конечный пользователь нажимает на ссылку, он видит указанную выше веб-страницу. Обратите внимание, что URL/команда для смены пароля жертве не видны.
Если жертва щёлкнет правой кнопкой мыши по странице и выберет «Просмотреть исходный код», вредоносная команда будет видна. Мало кто знает, как это сделать, а те, кто знает, вряд ли поймут, что они
видят.
Шаг №5: Попробуйте снова войти в DVWA.
Теперь, когда жертва пытается снова войти в приложение DVWA, используя свои старые учетные данные (администратор, пароль), приложение отклоняет ее учетные данные, поскольку ее учетные данные были изменены, когда она посетила веб-сайт «Nigerian Prince»!
Теперь, когда злоумышленник попытается войти в приложение с новым паролем (хакерская атака)… Успех!
Заключение
Подделка межсайтовых запросов (CSRF) — одна из самых серьёзных атак на веб-приложения. Она заставляет браузер пользователя выполнять действия, не инициированные или не авторизованные пользователем. Это может привести к таким действиям, как вход в конфиденциальные учётные записи, перевод средств или смена паролей.
