[BJDCTF2020]认真你就输了：如何绕过前端校验？

Question

在[BJDCTF2020]“认真你就输了”题目中，前端通过JavaScript校验用户输入，仅允许特定字符或格式通过。常见技术问题是：如何绕过前端的输入限制（如禁用按钮、输入过滤、正则校验）以提交恶意或特殊构造的请求？由于前端校验易被禁用或篡改，攻击者可通过Burp Suite拦截修改请求、浏览器开发者工具绕过JS验证，或直接构造HTTP请求发送非法载荷。该题核心考察是否理解“前端校验不可信”的安全原则，强调服务端必须独立进行二次校验。绕过前端后，常会暴露后端逻辑漏洞或隐藏接口路径，是典型的安全测试场景。

Answer 1

一、前端校验的本质与常见限制机制

在现代Web应用中，前端JavaScript常用于对用户输入进行即时校验，提升用户体验。例如，在[BJDCTF2020]“认真你就输了”题目中，前端通过正则表达式或DOM事件监听限制输入字符，仅允许特定格式（如字母、数字）提交。

• 禁用提交按钮直到输入合法
• oninput/onchange事件中执行正则过滤
• 使用preventDefault()阻止非法表单提交
• 隐藏或动态生成接口路径增加探测难度

这些手段虽能防止普通用户误操作，但无法抵御恶意攻击者，因其运行环境完全可控。

二、绕过前端校验的典型技术路径

技术手段	工具支持	适用场景	实现原理
浏览器开发者工具修改DOM	Chrome DevTools	按钮被禁用或JS验证存在	手动启用按钮或删除onsubmit事件
Burp Suite拦截修改请求	Burp Proxy/Repeater	请求发出前篡改参数	截获HTTP请求并注入特殊payload
直接构造HTTP请求	cURL / Python requests	绕开整个前端界面	模拟POST请求发送非法字符
禁用JavaScript运行	浏览器设置或NoScript插件	JS是唯一校验层	使前端逻辑完全失效

三、实战分析：[BJDCTF2020]“认真你就输了”解题流程

1. 观察页面源码，发现输入框绑定checkInput()函数
2. 该函数使用正则/^[a-zA-Z]+$/限制仅允许字母输入
3. 尝试输入特殊字符，前端报错且无法提交
4. 打开DevTools，搜索checkInput并断点调试
5. 发现表单最终提交至/submit_flag接口
6. 使用Burp Suite捕获原始请求：

POST /submit_flag HTTP/1.1
Host: challenge.example.com
Content-Type: application/x-www-form-urlencoded

input=abc
    

将input=abc修改为input={flag}或包含特殊字符的payload重新发送，服务端返回异常信息，暴露出后端未做严格校验。

四、从防御视角重构安全设计原则

真正的安全边界应在服务端建立独立的输入验证机制。以下为推荐实践：

• 所有关键校验逻辑必须在服务端重复执行
• 采用白名单策略而非黑名单过滤
• 对敏感操作引入Token机制防CSRF
• 日志记录非法输入行为用于审计追踪
• 使用CSP头减少XSS风险

五、可视化攻击流程图（Mermaid）

graph TD
            A[用户输入数据] --> B{前端JS校验}
            B -->|通过| C[发送请求]
            B -->|拒绝| D[提示错误]
            E[Burp拦截修改] --> C
            F[DevTools篡改DOM] --> C
            G[cURL直接请求] --> C
            C --> H{服务端处理}
            H --> I[若无二次校验]
            I --> J[执行恶意逻辑]
            H --> K[若有校验]
            K --> L[拒绝非法请求]

六、延伸思考：前端不可信模型下的纵深防御体系

“认真你就输了”这一题名本身即是一种隐喻——过分依赖前端交互逻辑会导致安全盲区。高级渗透测试中，攻击者往往不与UI交互，而是通过API逆向工程结合流量重放快速定位薄弱点。

企业级系统应构建多层防护：

• 网关层：WAF过滤SQLi/XSS等常见攻击载荷
• 应用层：输入消毒 + 类型强校验 + 接口权限控制
• 数据层：预编译语句防止注入
• 监控层：异常请求频率告警与IP封禁