DVWA通关教程

发表于 2026-1-26 01:57:26

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要登录才可以下载或查看，没有账号？立即注册

×

Brute Force

Low

先辈行一下代码审计

<?php
// 检查是否通过GET请求传递了'Login'参数（注意：这里应该是'username'或类似的，但代码逻辑有误）
if( isset( $_GET[ 'Login' ] ) ) {
// 从GET请求中获取用户名
$user = $_GET[ 'username' ]; // 注意：这里应该是'$_GET['username']'，但键名写错了
// 从GET请求中获取密码，并使用MD5算法进行哈希
$pass = $_GET[ 'password' ];
$pass = md5( $pass ); // MD5已不被认为是安全的哈希算法，不应在新开发的应用中使用
// 准备SQL查询语句，用于从数据库中查找用户
$query = "SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';";
// 执行SQL查询，使用全局变量$GLOBALS["___mysqli_ston"]作为数据库连接
// 如果查询失败，则输出错误信息
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
// 检查查询结果是否存在且仅有一行（即一个匹配的用户）
if( $result && mysqli_num_rows( $result ) == 1 ) {
// 从结果集中获取用户详细信息
$row = mysqli_fetch_assoc( $result );
$avatar = $row["avatar"]; // 获取用户的头像URL
// 登录成功，输出欢迎信息和用户头像
echo "Welcome to the password protected area {$user}";
echo "<img src="{$avatar}" />";
}
else {
// 登录失败，输出错误信息
echo "<pre> Username and/or password incorrect.</pre>";
}
// 关闭数据库连接（尽管这里使用了三元运算符，但实际上并没有对结果进行任何处理）
((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
?>

复制代码

先在这里说一下，这段php代码没有对输入举行任何的过滤，我们可以采取sql注入去爆破数据库登录，大概利用万能暗码比如 admin or 1 = 1 (原理是or只要前后创建一个即可),这题必要用单引号举行闭合注入

打开BP，举行抓包，输入用户名和暗码（随意）

抓包分析，右键发送到intruder中

下面先容一下BP的爆破方式

Sniper

单参数爆破，多参数时利用同一个字典按次序更换各参数，只有一个数据会被更换
在password的变蓝的地方添加playload

在这里设置字典，可以看到payload是password的时间长度有变革，以是password就是暗码

Battering ram

多参数同时爆破，但用的是同一个字典，每个参数数据都是划一的

我们可以看到没有一样的，分析没乐成
Pichfork

多参数同时爆破，但用的是差别的字典，差别字典间数据逐行匹配

可以看到当username = admin 而且password= password 是长度和其他的都差别，以是纵然账户和暗码
Cluster bamb

多参数做笛卡尔乘积模式爆破

可以显着的看到长度不一样
Medium

Medium步调和low品级完全一样，重要是源码多了一点东西导致难度会进步一点，但无伤风雅，low品级能跑出来的Medium也能跑出来，接下来就让我们举行一下代码审计吧

<?php
// 检查是否通过GET请求提交了Login参数
if( isset( $_GET[ 'Login' ] ) ) {
// 从GET请求中获取用户名，但这里应该使用POST而不是GET来传输敏感信息
$user = $_GET[ 'username' ];
// 尝试对用户名进行转义，但依赖于全局变量___mysqli_ston，这不是一个好的做法
// 更好的做法是将数据库连接作为参数传递给函数或方法
$user = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $user ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
// 从GET请求中获取密码，同样应该使用POST
$pass = $_GET[ 'password' ];
// 对密码进行转义，然后MD5加密。MD5不再被认为是安全的密码存储方式
$pass = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$pass = md5( $pass );
// 构造SQL查询语句，但直接将变量插入SQL语句中是不安全的（SQL注入风险）
$query = "SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';";
// 执行SQL查询，如果失败则显示错误信息
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
// 检查查询结果是否存在且只有一行
if( $result && mysqli_num_rows( $result ) == 1 ) {
// 获取用户信息
$row = mysqli_fetch_assoc( $result );
$avatar = $row["avatar"];
// 登录成功，但输出用户信息到HTML中可能导致XSS攻击
echo "Welcome to the password protected area {$user}";
echo "<img src="{$avatar}" />";
}
else {
// 登录失败，延迟2秒响应
sleep( 2 );
// 输出错误信息
echo "<pre> Username and/or password incorrect.</pre>";
}
// 关闭数据库连接，但这里的错误处理是多余的
((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
?>

复制代码

High

high品级相较于Medium的变革是sleep(rand(0,3))函数随机休眠0到3秒，重点是增长了token值，这增长了难度，接下来看看我们怎么在有token验证的环境下得到精确的用户名和暗码

<?php
if( isset( $_GET[ 'Login' ] ) ) {
// 检查是否存在CSRF令牌，并与会话令牌匹配，以防止跨站请求伪造
// 假设checkToken函数已经定义，并接受请求令牌、会话令牌和失败时重定向的页面
checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
// 清理用户名输入中的反斜杠
$user = $_GET[ 'username' ];
$user = stripslashes( $user );
// 使用mysqli_real_escape_string防止SQL注入，如果数据库连接存在
$user = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $user ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
// 清理密码输入中的反斜杠
$pass = $_GET[ 'password' ];
$pass = stripslashes( $pass );
// 使用mysqli_real_escape_string防止SQL注入，然后加密密码
$pass = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$pass = md5( $pass ); // 使用MD5加密密码，尽管这不是最佳实践（应使用更安全的哈希算法）
// 构造SQL查询语句
$query = "SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';";
// 执行查询，如果失败则显示错误信息
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
if( $result && mysqli_num_rows( $result ) == 1 ) {
// 从结果中获取一行用户数据
$row = mysqli_fetch_assoc( $result );
$avatar = $row["avatar"]; // 获取用户头像URL
// 登录成功
echo "Welcome to the password protected area {$user}";
echo "<img src="{$avatar}" />"; // 显示用户头像
}
else {
// 登录失败，随机延迟0到3秒以减缓暴力破解攻击
sleep( rand( 0, 3 ) );
echo "<pre> Username and/or password incorrect.</pre>";
}
// 关闭数据库连接（尽管这里的结果赋值操作可能不是最佳实践）
((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
// 生成新的CSRF令牌并存储在会话中，以便下次请求时验证
generateSessionToken();
?>

复制代码

进入payload模块第一个选择字典本身添加，第二个选择递归查询

找到Grep-Extract ：这个设置可以大概被用来通过哀求返回的信息来获取有效的信息供你利用，也就是说，可以通过它来得到每次哀求后返回的Token，关联到Payload中举行暴力破解

在Payload Options中就可以看到自动加载过来的值，将哀求包里user_token的值填入到Initial payload for first request（第一个哀求的初始负载）中，也可不填，点击Start attack开启爆破！

如下乐成了

Impossible

<?php
// 检查是否提交了登录表单
if( isset( $_POST[ 'Login' ] ) && isset ($_POST['username']) && isset ($_POST['password']) ) {
// 检查Anti-CSRF令牌
checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );
// 清理用户名输入（尽管在PDO中不需要，但可能是从旧代码迁移而来）
$user = $_POST[ 'username' ];
$user = stripslashes( $user ); // 移除反斜杠（在魔术引号开启时有用，但现代PHP中已废弃）
// 尝试使用全局mysqli连接进行转义，否则报错
$user = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $user ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
// 清理密码输入（同上）
$pass = $_POST[ 'password' ];
$pass = stripslashes( $pass );
$pass = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));
$pass = md5( $pass ); // 使用MD5哈希密码（不推荐，因为MD5不安全）
// 设置默认值和变量
$total_failed_login = 3;
$lockout_time = 15;
$account_locked = false;
// 检查数据库中的用户信息
$data = $db->prepare( 'SELECT failed_login, last_login FROM users WHERE user = (:user) LIMIT 1;' );
$data->bindParam( ':user', $user, PDO::PARAM_STR );
$data->execute();
$row = $data->fetch();
// 检查用户是否被锁定
if( ( $data->rowCount() == 1 ) && ( $row[ 'failed_login' ] >= $total_failed_login ) ) {
// 计算用户何时可以重新登录
$last_login = strtotime( $row[ 'last_login' ] );
$timeout = $last_login + ($lockout_time * 60);
$timenow = time();
// 如果时间未到，则账户被锁定
if( $timenow < $timeout ) {
$account_locked = true;
}
}
// 检查用户名和密码是否匹配
$data = $db->prepare( 'SELECT * FROM users WHERE user = (:user) AND password = (:password) LIMIT 1;' );
$data->bindParam( ':user', $user, PDO::PARAM_STR);
$data->bindParam( ':password', $pass, PDO::PARAM_STR );
$data->execute();
$row = $data->fetch();
// 如果登录有效且账户未锁定
if( ( $data->rowCount() == 1 ) && ( $account_locked == false ) ) {
// 获取用户详细信息
$avatar = $row[ 'avatar' ];
// ...（其他用户信息）
// 登录成功
echo "Welcome to the password protected area {$user}";
// ...（其他成功消息）
// 重置登录失败次数
$data = $db->prepare( 'UPDATE users SET failed_login = "0" WHERE user = (:user) LIMIT 1;' );
$data->bindParam( ':user', $user, PDO::PARAM_STR );
$data->execute();
} else {
// 登录失败
sleep( rand( 2, 4 ) ); // 延迟响应，可能是为了简单的DoS保护
// 给出反馈
echo "<pre> Usern

复制代码

DVWA通关教程

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

浏览过的版块

飞不高