web安全（xss/csrf）简单攻击原理和防御方案（实战篇）

已于 2024-01-05 22:12:36 修改
阅读量211 收藏 1
点赞数
分类专栏： 网络安全 文章标签： web安全 xss 网络安全
于 2023-01-29 14:33:57 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_71744044/article/details/128788721
版权
介绍：最近在学习node，就顺便写了web安全攻击的示例以及解决方案。参考了一些资料，自己理了一下思路，代码不是很完善，node也是在摸索阶段，请见谅。希望对那些对于安全不是很了解，后台知识不清楚的同学有所帮助。

解决方案看上一篇文章（理论篇），这里主要演示一下攻击原理

代码：git@github.com:StyLanQP/web-Safe.git

github地址：github.com/StyLanQP/we…

项目代码如下：

app： 正常的网站
hack：模拟黑客攻击的网站
使用技术： node+express+react+mysql

项目介绍
1.代码目录

2. 建立数据库

node app/mysql.js 先执行这个文件创建表和数据

如图所示

一、XSS（Cros
最低0.47元/天 解锁文章
无情哈老少
关注
专栏目录
[网络安全自学篇] 十八.XSS跨站脚本攻击原理及代码攻防演示（一）
杨秀璋的专栏
10-12 2万+
这是作者的系列网络安全自学教程，主要是关于网安工具和实践操作的在线笔记，特分享出来与博友共勉，希望您们喜欢，一起进步。前文分享了Python弱口令攻击、自定义字典生成，并构建了Web目录扫描器；本文将详细讲解XSS跨站脚本攻击，从原理、示例、危害到三种常见类型（反射型、存储型、DOM型），并结合代码示例进行详细讲解，最后分享了如何预防XSS攻击。本文参考了爱春秋ADO老师的课程内容，这里也推荐大家观看他Bilibili和ichunqiu的课程，同时也结合了作者之前的编程经验进行讲解。
web服务器攻击与防御系统设计,网络安全-Web的入侵防御系统的设计与实现
weixin_30271235的博客
08-05 2079
摘 要Web服务器往往得不到传统防御方式的有效保护，使其成为整个网络环境中安全最薄弱的地方。缓冲区溢出、SQL注入、基于脚本的DDos、盗链和跨站等攻击行为对Web服务器的安全和稳定造成极大的威胁，而目前缺少有效的防御和保护的方式。本课题中首先调研了当前Web服务器所面对的威胁，然后针对这些安全威胁设计了一套入侵防御系统，并通过ISAPI实现了对Windows平台下的IIS服务器的保护。在这套入...
一次csrf配合xss的攻击实例
aiquan9342的博客
03-16 392
xss出现在我的邮箱处 alert of payload "><script>alert(/test/)</script><" by cookie of payload "><script src=http://t.cn/RxQ4lz8></script><" csrf依旧是出现在“我的...
Web安全中的XSS攻击详细教学（附通关教程）
最新发布
黑战士的博客
06-24 1021
\1. 存储型XSS（持久型）：攻击者将恶意脚本存储在目标服务器上，每当用户访问受感染的页面时，恶意脚本就会执行。\2. 反射型XSS（非持久型）：攻击者诱使用户点击一个链接，该链接将恶意脚本作为输入传递给服务器，然后服务器将这个脚本反射回用户的浏览器执行。\3. DOM型（非持久型）：XSS攻击的常见目标是盗取用户的cookie和其他敏感信息，这些信息可以用来进行会话劫持、身份冒充等进一步攻击。如何防御？\1. 输入验证：网站开发者需要对用户输入进行严格的验证和过滤，避免将不受信任的数据直接输出到HTML
【实战】储存XSS+CSRF（XSS绕过到蠕虫攻击）
XunanSec的博客
05-23 586
0x00 存储XSS 1) 可绕过的XSS 给大家分享个漏洞案例，今天上午刚把电脑修好 某技术学院储存XSS+CSRF（XSS绕过滤到蠕虫攻击） 注册处：http://xxx.edu.cn/meol/xxxx需要注册才能进入社区发表，先说下储存XSS，过滤了，发现可绕过 储存XSS：http://xxx.edu.cn/meol/xxx?genre=80&type=0 他是先过滤再输出，而不是输出时过滤，从而导致可绕过 我们发现他输入时就进行了过滤，直接替换<script>a.
WEB安全之CSRF攻击原理
sum_rain的专栏
07-05 950
本文转载于http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html#2972061 
xss+csrf组合拳这么玩
yggcwhat
05-28 946
xss+csrf组合拳这么玩
Web安全：XSS、CSRF以及如何防范，2024年阿里网络安全面试题及答案
2401_83974064的博客
04-18 750
CSRF, 即Cross-site request forgery）中译是跨站请求伪造；CSRF 顾名思义，是伪造请求，冒充用户在站内的正常操作。我们知道，绝大多数网站是通过 cookie 等方式辨识用户身份（包括使用服务器端 Session 的网站，因为 Session ID 也是大多保存在 cookie 里面的），再予以授权的。所以要伪造用户的正常操作，最好的方法是通过 XSS 或链接欺骗等途径，让用户在本机（即拥有身份 cookie 的浏览器端）发起用户所不知道的请求。
web安全 - xss和csrf
javagty6778的博客
02-19 149
比较常见的一个场景是攻击者在社区或论坛上写下一篇包含恶意 JavaScript 代码的文章或评论，文章或评论发表后，所有访问该文章或评论的用户，都会在他们的浏览器中执行这段恶意的 JavaScript 代码。现在Web安全书籍比较多，因此大家在学习的过程中可以少走了不少的弯路。骗取服务器的信任，可以在受害者毫不知情的情况下以受害者名义伪造请求发送给受攻击服务器，从而在并未授权的情况下执行在权限保护之下的操作。阅读永远是最有效的方法，尽管书籍并不一定是最好的入门方式，但书籍的理解需要一定的基础；
CSRF漏洞原理和防御
m0_61506558的博客
08-22 551
本文基于靶场，对CSFR进行阶段性总结，后续通过实战会不断总结，完善。对CSRF做了个归纳，以后会慢慢优化！！！
Web安全中的XSS攻击详细教学（一），Xss-Labs靶场通关全教程（建议收藏）
xt350488的博客
06-17 1509
xss（cross site script）跨站脚本攻击，指的是攻击者往web页面插入，当用户浏览时，嵌入web页面里的脚本代码就会执行，从而达到恶意攻击用户的特殊目的，它主要分为俩种类型。
web前端安全攻击与防御
qq_44005305的博客
01-15 240
攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。例如，在网站上广泛存在的发帖认证码，要求用户输入图形中的字符，输入某些图形的特征等。
典型Web攻击(网络空间安全实训)
qq_44047806的博客
06-07 2110
典型****Web攻击 1.实验内容与环境 1.1实验内容 SQL注入、XSS、CSRF、文件上传、目录遍历（SQL注入必做，其它四选一）。可以基于如下实验环境，也可以百度“实验楼”等实验环境，或采用google hacking方式在网上找“合适的”目标系统（适可而止）。SQL注入若只是“万能钥匙”方式登录目标系统，则成绩为及格，适当进一步攻击（可以借助啊D等工具），则可获中等及以上成绩，最高境界是SQL注入至获取数据库表内容。 1.2实验环境 操作系统：Windows10 CPU：I7-8450H 内存：
【xss结合csrf实验】
一纸荒芜的博客
09-07 1982
通常xss漏洞可以和csrf漏洞结合使用，今天就做一个小的实验举例，漏洞主要利用的是用户修改敏感信息的未退出状态，并且修改信息不需要验证时很容易被伪造，当我们发现存在csrf漏洞时，可构造url请求信息，配合xss漏洞去配合诱导访问。本实验由本地搭建的pikachu靶场做演示。 本期简单介绍了xss漏洞与csrf漏洞的配合使用。
面试之-理解XSS、CSRF攻击原理与实践
WLANQY的博客
02-03 228
利用受害者在被攻击网站已经获取的注册凭证(cookie)，一般网站都是直接根据cookie判断是否是合法登录，由于受害者的cookie已经被获取了，所以被攻击网站就会认为是合法用户。而CSRF攻击之所以能够成功，是因为服务器误把攻击者发送的请求当成了用户自己的请求。服务器通过校验请求是否携带正确的Token，来把正常的请求和攻击的请求区分开，也可以防范CSRF的攻击。前面讲到CSRF的另一个特征是，攻击者无法直接窃取到用户的信息（Cookie，Header，网站内容等），仅仅是冒用Cookie中的信息。
一、web安全（xss/csrf）简单攻击原理和防御方案（理论篇）
wuli1024的博客
12-28 1433
原理：恶意攻击者往 Web 页面里插入恶意可执行网页脚本代码，当用户浏览该页之时，嵌入其中 Web 里面的脚本代码会被执行，从而可以达到攻击者盗取用户信息或其他侵犯用户安全隐私的目的。
WEB漏洞测试（三）——CSRF结合XSS攻击
qq_28241149的博客
03-04 2272
一.CSRF攻击 首先我们来看下什么叫做CSRF攻击，CSRF是一种伪造请求访问网站的方式，我们都知道B/S架构是基于HTTP请求完成前后端的通讯的，假设我其实不是真正的网站前端而伪造请求进行访问后台，就会产生一定的危险。 举例说，假设我登录A网站购买某产品，但是B网站伪造A网站购买产品的请求去访问A网站的后台接口，这就是一种CSRF的攻击了。 那么问题来了，B网站实际上并没有登
【图解HTTP】|【09】Web的攻击技术
weixin_45926547的博客
05-29 3398
文章目录1、针对Web的攻击技术1.1 客户端即可篡改请求1.2 针对Web应用的攻击模式2、因输出值转义不完全引发的安全漏洞2.1 跨站脚本攻击2.2 SQL注入攻击 1、针对Web的攻击技术 1.1 客户端即可篡改请求 HTTP请求报文内加载URL查询字段或表单、HTTP首部、Cookie等将攻击传入； 若Web应用存在安全漏洞，那么内部信息就会遭到窃取，或被攻击者拿到管理权限； 1.2 针对Web应用的攻击模式 对Web应用的攻击模式： - 主动攻击； - 被动攻击； 【主动攻击】：指攻击者通
Web安全实验：跨站攻击(XSS+CSRF)原理与实战
"本次实验主要关注的是Web安全中的两种重要攻击方式：跨站脚本攻击（XSS）和跨站请求伪造（CSRF）。实验旨在让参与者深入理解这两种攻击的原理，掌握不同级别的攻击实施，并了解相应的防御和修复措施。实验环境为...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值