网络攻防CSRF跨站攻击的踩坑记录

网络攻防踩坑记录

最近在上网络攻防课程，在做跨站攻击时遇到了一些问题，也算踩了一些坑，在此进行记录。

在docker中进行dcbuild构建时网速过慢

当然在这里我是进行了换源的（实际上作用不大）

这里的话有两种解决方式

1. 手机开热点

2. 利用小猫咪进行代理

下面介绍怎么配置代理

打开虚拟机的shell窗口输入以下命令

ip route show

可以看到默认路由为10.0.2.2

如图所示进行设置，这里的10.0.2.2就是查询到的路由，7890就是小猫咪的端口

访问www.seed-server.com的时候跳转到别的网站

在访问的时候发现并不是预期的网站，排查了一下应该是前面自动加上了https协议，这个应该是火狐为了安全开启了强制HTTPS模式，这个的话去设置关闭一下就好

如图所示进行更改，再次访问就没什么问题了

进行CSRF攻击——添加好友时攻击失败

在别的用户点击这个恶意文件时应该进行添加好友操作，但是我这里点击之后无事发生，没有执行添加好友操作

这种时候干瞪眼看是没什么用的，于是我用插件HTTP Header Live抓包查看了一下，因为我们想要添加好友的核心是要用户的cookie。于是查看一下请求，发现boby浏览自己的收信箱的时候cookie是一个（图一），然后点击恶意文件所发送的cookie却是另一个（图二），如下图所示

这样的话没有添加上好友就是因为cookie不对了，经过我的排查之后我想到应该又是火狐的锅，应该是为了保护用户安全，默认对跨域请求进行了限制，让其不能携带用户的cookie。在火狐的设置里面进行搜索，果然找到此设置

将其更改为custom自定义，然后全部取消勾选，如图所示，就能成功攻击了

虽然都是一些小问题，但是排查起来还是有些麻烦的，成功解决所以在此记录，防止后期遗忘