- 博客(7)
- 收藏
- 关注
RSS订阅原创 Cross-site request forgery1点点
3、网站如果要防止CSRF攻击，则需要对敏感信息的操作实施对应的安全措施，防止这些操作出现被伪造的情况，从而导致CSRF。1、我们判断一个网站是否存在CSRF漏洞，其实就是判断其对关键信息（比如密码等敏感信息）的操作(增删改)是否容易被伪造。2、本质是借用户的权限完成攻击，因此攻击成功需要用户已经通过验证获得了权限，并触发了攻击者提供的请求。–对敏感信息的操作实施安全的逻辑流程，比如修改密码时，需要先校验旧密码等。尝试在登录后的信息页面修改url 发现不跳转也不修改。–对敏感信息的操作增加安全的验证码；
2023-07-25 15:09:58
32
原创 xss-labs
看url 修改试一下 看页面 看源码 来来回回就是这几个地方 水豚已学懂（bushi）所以解题流程应该是先看地址栏有ab两个参数，可以通过url进行传值 所以这里就是注入点。看了别人的答案才知道 好家伙人家是有图的！需要用%0a替代空格（不看答案谁想得到 学到这里水豚也想骂人了）总之过关的办法就是改前端的代码！之后再参数二的后面要用空格分开才可以运行注入语句。无语了 我还以为这个插件不支持是作者故意开的玩笑。看源码发现一个src=....a=b。插件安装不好 不学了！没有20 新的一天开始了！
2023-07-25 11:32:20
27
原创 burp抓包+爆破
发现是通过计算获得 每一次打开网页都会获得一个不一样的token，因为token会展示在前段的源码当中所以是可以进行绕过的。send 到repeater里面进行查看如果去掉验证码也可以进行通过 说明 根本没有监测机制 直接进行爆破。先看浏览器的源码看token的生成方式 fn f12。每一次第一个尝试必报错token错误 （暂时未知为什么）关键在于尝试多种情况的输入 加验证码和不加验证码。填写好正确的 试一下 然后暴力破解。pikachu暴力破解。proxy 打开浏览器。附上一些burp的讲解。
2023-07-21 17:30:26
92
1
原创 源的集合自用
中国科学技术大学 http://pypi.mirrors.ustc.edu.cn/simple/中国科技大学 https://pypi.mirrors.ustc.edu.cn/simple/清华大学 https://pypi.tuna.tsinghua.edu.cn/simple/阿里云 http://mirrors.aliyun.com/pypi/simple/豆瓣(douban) http://pypi.douban.com/simple/
2023-07-19 19:44:42
29
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人