web-csrf

1年前作者：偷吃"游"的阿彪分类：Toy博客阅读(6)违法举报

这篇具有很好参考价值的文章主要介绍了web-csrf。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

目录

CSRF与XSS的区别：

get请求

原理：

pikachu为例

post请求

pikachu为例

CSRF与XSS的区别：

CSRF是借用户的权限完成攻击，攻击者并没有拿到用户的权限，而XSS是直接盗取到了用户的权限

get请求

原理：

A在某个网站更改我们所需要的信息信息点击提交，用bp开启抓包。然后把更改数据的get请求网址复制出来发给B。当B点击这个链接打开的时候，如果B恰好登陆我们的目标网站，信息就会修改成功。

靶场：pikachu的get，dvwa的low

pikachu为例

lili用户进行信息更改界面，然后把提交的链接发送给allen

web-csrf,web,csrf

用bp进行抓包

GET /vul/csrf/csrfget/csrf_get_edit.php?sex=777888&phonenum=777888&add=777888&email=777888&submit=submit

构造payload

http://8.130.137.228:84/vul/csrf/csrfget/csrf_get_edit.php?sex=777888&phonenum=777888&add=777888&email=777888&submit=submit

将payload发送给allen,allen进行点击

web-csrf,web,csrf

post请求

pikachu为例

可以看到我们进行修改的参数在请求体中可以看到

web-csrf,web,csrf

利用bp的poc（一个html页面）生成网址链接

web-csrf,web,csrf

web-csrf,web,csrf

web-csrf,web,csrf

访问这个链接的时候是不能关闭bp的代理的。访问到这个界面之后，就要关闭bp代理，点击按钮就修改信息成功了

web-csrf,web,csrf

防护措施：

①对敏感信息的操作增加安全的token；

②对敏感信息的操作增加安全的验证码；

③对敏感信息的操作实施安全的逻辑流程，比如修改密码时，需要先校验旧密码等。

④用referer来限制访问跳转页面

文章来源地址https://www.toymoban.com/news/detail-634223.html

到了这里，关于web-csrf的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：如若内容造成侵权/违法违规/事实不符，请点击违法举报进行投诉反馈，一经查实，立即删除！

分享到：

领支付宝红包赞助服务器费用

《WEB安全漏洞100讲》（第4讲）CSRF漏洞
CSRF(Cross-site request forgery)，跨站请求伪造，简写 CSRF/XSRF。指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法操作
2023年04月08日
浏览(12)
前端面试：【XSS、CSRF、CSP】Web安全的三大挑战
嗨，亲爱的Web开发者！在构建现代Web应用时，确保应用的安全性至关重要。本文将深入探讨三个常见的Web安全威胁：XSS（跨站脚本攻击）、CSRF（跨站请求伪造攻击）和CSP（内容安全策略），以帮助你了解并应对这些威胁。 1. XSS（跨站脚本攻击）： XSS是一种攻击方式，攻击者
2024年02月11日
浏览(11)
常见web安全漏洞-暴力破解，xss，SQL注入，csrf
1，暴力破解原理：使用大量的认证信息在认证接口进行登录认证，知道正确为止。为提高效率一般使用带有字典的工具自动化操作基于表单的暴力破解 --- 若用户没有安全认证，直接进行抓包破解。验证码绕过 on s
2023年04月12日
浏览(12)
Web系统常见安全漏洞介绍及解决方案-CSRF攻击
🐳博客主页：拒绝冗余 – 生命不息，折腾不止 🌐订阅专栏：『Web安全』 📰如觉得博主文章写的不错或对你有所帮助的话，还望大家多多支持呀！ 👉关注✨、点赞👍、收藏📂、评论。 CSRF跨站请求伪造，全称Cross-site request forgery，是指利用受害者尚未失效的身份认证信息
2024年01月22日
浏览(15)
WEB安全-SQL注入，CSRF跨站伪造，OXX跨站脚本
目录 SQL 注入攻击字符串型数字型参数化型盲注型 python解决SQL注入 CSRF 跨站伪造攻击 Django防止CSRF手段 CSRF攻击只会在表单上吗？ XSS 跨站脚本攻击其他攻击 SQL 注入是一种网络攻击手段，攻击者通过在 Web 应用程序的输入字段中插入恶意 SQL 代码，试图访
2024年02月14日
浏览(8)
万字讲解9种Web应用攻击与防护安全。XSS、CSRF、SQL注入等是如何实现的
OWASP（开放Web软体安全项目- Open Web Application Security Project）是一个开源的、非盈利的全球性安全组织，致力于应用软件的安全研究。使命是使应用软件更加安全，使企业和组织能够对应用安全风险做出更清晰的决策。 http://www.owasp.org.cn/ OWASP在业界影响力： OWASP被视为web应用
2023年04月15日
浏览(10)
（29.1）【CSRF详解】CSRF原理、利用过程、分类、举例、工具……
目录 CSRF 一、简介：二、CSRF与XSS的区别： XSS CSRF 三、原理：四、基本流程：五、危害：六、分类：站外攻击：站内攻击：七、举例： Get提交方法： Post提交方法：未进行CSRF-token验证位置：原理： cookie中的token： FLASH CSRF 属性： Json劫持简介：获取数据的方式：利用
2024年02月08日
浏览(26)
xss和csrf攻击
xss是指向html或dom中注入恶意脚本，从而在用户浏览页面的时候利用脚本对用户实施攻击的手段 xss可以实现： cookie信息的窃取监听用户行为（如表单输入提交）修改dom（伪造登录页面窃取账号密码）生成浮窗广告防止xss攻击的策略：服务器对输入脚本进行过滤或转码设置
2023年04月11日
浏览(24)
XSS和CSRF
如果登陆了一个网站，不小心又打开另一个恶意网站，如果没有安全策略，则他可以对已登录的网站进行任意的dom操作、伪造接口请求等，因此安全策略是必要的；浏览器的同源策略限制了非同源的域名之间不可以对DOM进行读写操作、不可以读取非同源的cookie、indexDB、
2024年02月13日
浏览(26)
CSRF安全漏洞修复
使用burp进行拦截请求然后使用csrf伪造进行请求伪造。在每个请求中增加 referer字段，如果没有这个字段则说明是伪造的请求。然后判断referer字段的域名和request的请求域名是否相同，如果不同则说明是伪造的请求。本处判断只判断接口，对页面进行放行（判断是否为页面的
2024年02月16日
浏览(12)