CSRF(跨站请求伪造)

最新推荐文章于 2024-07-19 00:30:00 发布
最新推荐文章于 2024-07-19 00:30:00 发布
阅读量2.2w 收藏 45
点赞数 19
分类专栏： Web漏洞 文章标签： php http
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_36119192/article/details/82820115
版权
本文详细介绍了CSRF（跨站请求伪造）攻击的分类、原理、实例、防御方法以及漏洞挖掘。针对GET和POST类型的CSRF攻击，文中列举了其工作方式，展示了攻击者如何利用用户的Cookie信息执行恶意操作。防御措施包括验证HTTP Referer字段、使用Anti-CSRF token和自定义HTTP头属性。此外，还提到了利用BurpSuite生成CSRF攻击POC的方法，以及如何挖掘CSRF漏洞。
摘要由CSDN通过智能技术生成

目录

CSRF分类

GET型：

POST型：

CSRF攻击原理及过程：

CSRF攻击实例：

CSRF攻击的防御：

（1）验证 HTTP Referer 字段        

（2）在请求地址中添加 token 并验证(Anti-CSRF token)        

（3）在 HTTP 头中自定义属性并验证        

CSRF漏洞的挖掘

使用BurpSuite快速生成CSRF POC

关于Cookie和Session，传送门——> Cookie和Session的区别

CSRF分类

CSRF(Cross-Site Request Forgery)，跟XSS漏洞攻击一样，存在巨大的危害性。

你可以这么来理解：攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等

GET型：

如果一个网站某个地方的功能，比如用户修改邮箱是通过GET请求进行修改的。如：/user.php?id=1&email=123@163.com  ，这个链接的意思是用户id=1将邮箱修改为123@163.com。 当我们把这个链接修改为 /user.php?id=1&email=abc@163.com ，然后通过各种手段发送给被攻击者，诱使被攻击者点击我们的链接，当用户刚好在访问这个网站，

了解本专栏 订阅专栏 解锁全文 超级会员免费看
谢公子
关注
  • 19
    点赞
  • 踩
  • 45
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 2
    评论
专栏目录
订阅专栏
CSRF跨站请求伪造
m0_73170217的博客
02-02 523
csrf漏洞的产生原理及危害、利用方法和防御手段
Django CSRF跨站请求伪造防护过程解析
09-18
CSRF（跨站请求伪造）是一种常见的网络安全威胁，攻击者利用用户的已登录状态，在用户不知情的情况下，通过恶意网站发起对受害者的合法网站的请求，执行非用户意愿的操作。Django框架提供了一套强大的CSRF防护机制，...
跨站请求伪造（CSRF）攻击原理及预防手段
慢慢
06-02 5635
随机化Token（CSRF Token）：Token是用于验证网站请求者身份的一种机制，可以防止CSRF攻击。该Token会在每次访问页面时刷新，以确保每次请求都需要新的Token。例如，在web应用程序中，可以通过hidden field的方式将Token加入到表单中，提交时验Referer检查：在服务端校验请求头中的Referer字段，确保请求是来自合法的来源页面，常用于辅助Token机制的验证。
跨站请求伪造——CSRF
这是笔者初学时所做的笔记，有错误的地方太多了，有些结论也只是笔者的一家之言。请自行判断
08-18 2131
csrf，不需要知道别人的cookies，伪装成别人 xss，要先知道别人的cookies，伪装成别人
常见漏洞之CSRF
最新发布
weixin_54799594的博客
07-19 1153
学习网络安全过程中的小笔记
CSRF（跨站请求伪造）
俺当日记写
07-14 184
CSRF 漏洞（跨站请求伪造）：漏洞是由于未校验请求来源，导致攻击者可在第三方站点发起 HTTP 请求，并以受害者的目标网站登录态（cookie、session 等）请求，从而执行一些敏感的业务功能操作1.不攻击网站服务器 2.冒充用户在信任网站工作 3.攻击建立在浏览器与web服务器的会话中网站服务端没有对request做严格过滤引起1.会造成用户密码重置 2.用户伪造1.get型csrf 2.post型csrf代码： 当访问这个页面时 及发送了一次http请求 伪造URL请求利用代码 实现网页自动提交
CSRF（Cross-site request forgery）跨站请求伪造
weixin_59496235的博客
03-26 994
CSRF 攻击之所以能够成功，是因为黑客可以完全伪造用户的请求，该请求中所有的用户验证信息都是存在于 cookie 中，因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的cookie 来通过安全验证。我们通常是给受害者发送一个链接，而在正常的情况下人们通常不会点击一个很长的、看起来就不正常的链接，这个就需要利用到社会工程学，学会利用人们的心理来达到我们的目的，诱使他们点击我们构造的链接，这种情况下我们需要把长的链接转化成一个短的链接，而网上正好可以找到很多这种在线的工具。
浅谈跨站请求伪造(CSRF)
A_dmin的博客
09-14 1857
浅谈跨站请求伪造(CSRF)   这里简单的记录一下CSRF漏洞~~ 什么是CSRF?   CSRF（Cross-Site Request Forgery，跨站点伪造请求）是一种网络攻击方式，该攻击可以在受害者毫不知情的情况下以受害者名义伪造请求发送给受攻击站点，从而在未授权的情况下执行在权限保护之下的操作，具有很大的危害性。具体来讲，可以这样理解CSRF攻击：攻击者盗用了你的身份，以你的名义发送...
干货！！学习CSRF跨站请求伪造，看这一篇就够了
qkh1234567的博客
05-09 956
CSRF是Cross Site Request Forgery的缩写，乍一看和XSS差不多的样子，但是其原理正好相反，XSS是利用合法用户获取其信息，而CSRF是伪造成合法用户发起请求。
CSRF跨站请求伪造，含使用教程和测试工具
05-04
CSRF跨站请求伪造，使用OWASP CSRFTester工具可以抓取并伪造请求，其测试原理是，使用代理抓取我们在浏览器中访问过的所有的连接以及所有的表单等信息，通过在CSRFTester中修改相应的表单等信息，重新提交，相当于一...
csrf跨站请求伪造简单示例
10-18
一个简单的csrf跨站请求伪造的示例,只有一个简单的表单提交功能.通过伪造表单提交,完成一个简单的钓鱼案例
跨站请求伪造-CSRF防护方法
03-12
跨站请求伪造-CSRF防护方法跨站请求伪造-CSRF防护方法
CSRF跨站请求伪造CSRF PHP demo代码
05-04
CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种网络攻击方式，攻击者通过诱导用户在已登录的网站上执行非预期的操作。在这个PHP demo中，我们将深入理解CSRF攻击的原理，并探讨如何防范。 首先，让我们看...
CSRF(跨站请求伪造)详解
Y22Lee的博客
04-10 1636
CSRF全称Cross-Site Request Forgery，也被称为 one-click attack 或者 session riding，即跨站请求伪造攻击。当发现网站存在CSRF漏洞时，攻击者会利用网站源码，构建一个存有恶意请求的网站或者是链接，引诱受害者访问，那么当受害者在访问攻击者伪造的网站，同时，又在访问攻击者攻击的目标网站且没有关闭会话，那么攻击者就成功完成了CSRF攻击！攻击者可以发送请求包，比如：修改邮箱的，上传文件的等等。
大数据网络安全——跨站请求伪造
未来社会二十年发展的核心技术趋势由ABCD四个字母组成，分别是AI（人工智能）、BlockChain（区块链）、Cloud（云）、和Data（大数据）每一次进步都有新的认知和感触
11-10 510
本实验以简单PHP源码调用关键系统函数，通过WEB执行任意系统命令，有一定的DOS命令基础做起来更轻松。在这个实验中，通过CSRF漏洞在管理员不知情的情况下，诱使管理员点击你伪造好的连接，只要能通过这种方法修改成功密码即可。当CSRF针对普通用户发动攻击时，将对终端用户的数据和操作指令构成严重的威胁；当受攻击的终端用户具有管理员帐户的时候，CSRF攻击将危及整个Web应用程序。
CSRF 跨站请求伪造
JunChow
04-30 212
CSRF CSRF全称Cross-Site Request Forgery跨站请求伪造，也被称为One Click Attack或Session Riding，通常缩写为CSRF或XSRF。 CSRF 攻击原因 CSRF攻击是冒充信任用户向服务器发送非预期请求的一种攻击方式 例如：CSRF攻击者在用户已经登录目标站点后，诱使用户访问一个攻击页面，利用目标站点...
跨站请求伪造（CSRF）
jkzyx123的博客
07-14 951
目标网站会误认为该请求是合法的用户行为，并执行相应的操作。恶意请求执行：受害者在浏览器中打开了恶意页面后，其中的自动执行的请求会被发送到购物网站。由于浏览器会自动携带受害者的身份验证凭证，购物网站会误以为这是合法的请求，并执行购买商品的操作。CSRF（Cross-Site Request Forgery）跨站请求伪造是一种常见的网络安全攻击，它利用用户在已经登录的网站上的身份验证信息来执行恶意操作。攻击者构造恶意页面：攻击者创建一个恶意网页，其中包含一个自动执行的请求，向购物网站发送一个购买商品的请求。
跨站请求伪造CSRF
m0_60052233的博客
09-09 127
1跨站请求伪造概述 hacker ⽤户可以伪造admin ⽤户的转账请求，强制admin ⽤户，转账给任意⽤户 基本概念 跨站请求伪造（Cross Site Request Forgery,CSRF） 。 CSRF 是⼀种攻击，它强制终端⽤户在当前对其进⾏身份验证后的Web 应⽤程序上执⾏⾮本意操作的攻 击。 CSRF 攻击的重点在于更改状态的请求，⽽不是盗取数据，因为攻击者⽆法查看伪造请求的响应。 借助于社⼯的⼀...
CSRF跨站请求伪造漏洞
12-06
CSRF（Cross-site request forgery）跨站请求伪造是一种网络攻击方式，攻击者通过伪造用户请求来冒充用户身份，从而进行一些非法操作。攻击者通常会在第三方网站上设置陷阱，引诱用户点击链接或者访问页面，从而触发...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

谢公子

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值