【安全】P 5-3 CSRF漏洞自动化探测

0X01 手动探测原理

手动探测原理在于探测web应用程序具有防止CSRF的措施。

如果Web应用程序的HTTP请求中没有对应的预防措施，那么很大程度上就确定存在CSRF漏洞。

0X02 自动化探测工具介绍

CSRFTester是一款CSRF漏洞的测试工具。
CSRFTester工具的测试原理大概是这样的，使用代理抓取我们在浏览器中访问过的所有的连接以及所有的表单等信息，通过在CSRFTester中修改相应的表单等信息，重新提交，相当于一次伪造客户端请求，如果修测试的请求成功被网站服务器接受，则说明存在CSRF漏洞，当然此款工具也可以被用来进行CSRF攻击。

0X03 自动化探测工具使用

1、设置浏览器代理：127.0.0.1:8008
2、登录Web应用程序，提交表单，在CSRF工具中修改表单内容，查看是否更改，如果更改表面存在CSRF漏洞。
3、生产POC代码。

0X04 利用CSRF漏洞

使用服务器搭建CSRF POC访问页面。
一定不要轻易点击一些未知链接。