pikachu练习（二）

1.CSRF（get）

我们首先正常登录，来到信息界面，点击修改个人信息

可以看到我们这里原本是要将电话号码进行修改

 此时我们进行抓包

 可以看到此行get，是浏览器正在获取lucy的请求

我们这里如果想要将lucy的性别也进行更改，按如下操作

我们修改get请求，补全url并将下面的链接发给lucy，她如果点击此链接，性别与电话号就都会被更改

http://127.0.0.1/pk/vul/csrf/csrfget/csrf_get_edit.php?sex=boy&phonenum=666666&add=usa&email=lucy%40pikachu.com&submit=submit

 如下图所示

访问后发现修改完成

 整个过程中，lucy只是点了一次链接，个人信息便被修改

2.CSRF（post）

同理，我们再次修改信息是进行抓包

 

 右键后，打开此选项

在此处我们可以更改我们想要更改的信息

我们这里将usa改成cn ，之后点击test in browser，再点击copy

 在网页中打开此链接（注：此时代理仍为127.0.0.1）

之后我们不要着急点击此按键，先将代理关闭，丢包并且调整为intercept is close

回到此网页并刷新

这时我们再点击burpsuite/中的按键，可以发现lucy的住址被改为cn

 3.token

CSRF的主要问题是敏感操作的链接容易被伪造,那么如何让这个链接不容易被伪造?
-每次请求,都增加一个随机码(需要够随机，不容易伪造)， 后台每次对这个随机码进行验证!
Ant上CSRF ( token )项目的token生成代码:

————————————————
版权声明：本文为CSDN博主「yyysec」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/qq_53571321/article/details/121692906