Pikachu靶场通关记录

暴力破解

基于表单的暴力破解

随便输入一个密码并点击登录，用burpsuite抓包

转给爆破模块，由于只用爆破密码这一个变量，使用狙击手模式

导入字典开始爆破，在结果中按长度排序找到正确密码

验证码绕过(on server)

本关多了一个在服务器后台验证的验证码

只要我们不把包放过，许多网页应用的服务器后台是不会刷新验证码，或者验证码在一段时间内有效

保留当前的验证码，仍然以密码作为变量爆破

验证码绕过(on client)

由于验证码判断是在前端进行，我们直接禁用JavaScript功能再爆破即可

token防爆破

本关先抓包观察一下请求内容

可以发现在登录时还需要上传token，所以我们可以使用爆破模块的音叉模式

定义密码和token这两个变量，token抓取页面中的token值即可

当然此时由于payload是抓取页面上的值，所以不能使用多线程，需要将线程设为1

XSS漏洞

反射型xss(get)

尝试<script>alert(1)</script>

输到一半发现存在长度限制，前往页面元素中调整

成功弹窗

反射型xss(post)

本关和上一关不一样的是提交的POST请求，当然构造的xss语句与上一关一致

存储型xss

将之前的注入语句从留言板提交后，会被存储到网站的数据库中，所以只要后续浏览该页面，无论是否提交内容，都会弹窗

DOM型xss

观察页面的js

我们在框中输入的内容会被放入a标签加到页面上

所以和其他类型的注入攻击思路一样，首先思考如何闭合以构造注入语句

我们可以将href属性闭合，后面的内容会被作为a标签的其他属性

当然也可以将a标签闭合，后面的内容则会直接被当作HTML元素

尝试提示的两种方法

1 2	'><img src="#" onmouseover="alert('xss')"> ' onclick="alert('xss')">

DOM型xss-x

观察js代码

function domxss(){
    var str = window.location.search;
    var txss = decodeURIComponent(str.split("text=")[1]);
    var xss = txss.replace(/\+/g,' ');
    //                        alert(xss);

    document.getElementById("dom").innerHTML = "<a href='"+xss+"'>就让往事都随风,都随风吧</a>";
}

本关与前一关的方法一致，区别就是这次是从url中获取我们输入的text参数，类似反射型

xss之盲打

盲打即在前端无法看到攻击是否成功，因为XSS注入语句没有直接拼入当前页面的HTML

但是本题提示输入的内容保存在了后台页面，我们在注入后访问admin_login.php

xss之过滤

先尝试<script>alert(document.cookie)</script>

只剩下一个>，猜测script关键字被过滤

使用a标签绕过

1	<a href="" onclick="alert('xss')">

xss之htmlspecialchars

尝试注入语句<script>alert(document.cookie)</script>

发现被传入了href的属性

构造如下语句绕过

1	" onclick="alert(document.cookie)">

仍然注入失败，查看源代码，发现进行了htmlspecialchars编码过滤

htmlspecialchars编码规则如下

&：转换为&amp;
"：转换为&quot;
'：转换为成为 '
<：转换为&lt;
>：转换为&gt;

当然有时候该函数被设置为仅过滤双引号（默认设置下），这需要我们试出来

修改刚刚的注入语句

1	' onclick='alert(document.cookie)

xss之href输出

传入的内容放在href属性中

尝试上一关的注入语句' onclick='alert(document.cookie)

注入失败，查看源代码

发现单引号被编码了

由于链接标签里可以通过在 href 中使用 javascript:xxx来执行 JavaScript

构造注入语句javascript:alert(document.cookie)

xss之js输出

查看页面元素和源代码

输入被传给了ms

我们可以尝试闭合源代码中原有的<script>标签

1	</script><script>alert('xss')</script>

CSRF

CSRF(get)

使用提示的账户密码登录到其中一个账号

修改个人信息，提交并使用bp抓包

抓到的数据包如下

请求的URL和请求体中并没有看到token，说明没有防CSRF的措施

我们将住址改为You are hacked

构造的链接为http://127.0.0.1/pikachu/vul/csrf/csrfget/csrf_get_edit.php?sex=boy&phonenum=110&add=You+are+hacked&email=114514%40gmail.com&submit=submit

接下来我们登录到另一个用户，并新建一个标签页并访问构造的链接，用于模拟用户点击恶意链接

CSRF(post)

遇到目标参数在请求体中传输，即POST传参的情况时，我们可以构造一个html网站并引诱用户点击

在该站点中发送post请求到目标网站

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta http-equiv="X-UA-Compatible" content="IE=edge">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>csrf_post</title>
    <script>
        window.onload = function(){
            document.getElementById("postsubmit").click();
        }
    </script>
</head>
<body>
    <form action="http://localhost/pikachu/vul/csrf/csrfpost/csrf_post_edit.php" method="post">
        <input type="text" name="sex" value="boy"><br>
        <input type="hidden" name="phonenum" value="110"><br>
        <input type="hidden" name="add" value="china"><br>
        <input type="hidden" name="email" value="Hacked by R1ck"><br>
        <input id="postsubmit" type="submit" name="submit" value="submit">
    </form>
</body>
</html>