用Chrome Extension制作CSRF跨站扫描器

最新推荐文章于 2023-09-14 21:47:26 发布
最新推荐文章于 2023-09-14 21:47:26 发布
阅读量81 收藏
点赞数
原文链接：https://segmentfault.com/a/1190000002556298
版权

思路

利用Chrome的HAR功能, 将分析请求中的csrf_token参数, 进行再次模拟请求, 并根据返回结果判断是否存在csrf漏洞.

crx稍后放出

weixin_33853827
关注
Burpsuite核心——Proxy模块的使用
hackzkaq的博客
12-28 2435
> `搜索公众号：白帽子左一，每天更新技术干货！ 之前已经对burp的使用做过分享了"渗透测试神器｜一文带你精通Burp（附下载）"(同样，喜欢看视频的也可文末扫码看视频教程演示.) 那篇比较全，但是有的板块并没有说的很细致，毕竟学习马虎不得，所以今天这篇文章是主要对burp的Proxy模块作出详细的说明使用! 从Proxy模块开始是因为这个模块可以说是burpsuite的核心，多数的功能都是基于在这个模块的基础上去使用的 使用前的两个准备 1.打开Burpsuite 2.配置好浏览器代理，并且安装
XSS自动化工具——Beef
世间繁华梦一出
03-10 5560
Beef的使用一、Beef简介二、beef的下载安装三、Beef配置四、Beef的使用五、Ｂeef的主要功能 在我的记忆之中之前是有些过关于beef这款工具的使用的文章的，然而最近整理博客，一看，发现怎么没有了，可能是我忘了吧，或者可能也可能是在梦里写了。。。今天来写一下吧 一、Beef简介 Browser Exploitation Framework （BeEF） BeEF 是目前最强大的浏览器开源渗透测试框架，通过xss漏洞配合JS脚本和Metasploit进行渗透， BeEF 是基于Ruby语言编写的
CSRFScanner:Python CSRF漏洞扫描器
05-06
CSRFScanner v1.0 Python CSRF漏洞扫描器 描述 CSRFScanner是一种用于扫描网站以查找CSRF漏洞的工具。 这是一个基本工具，不是很人性化，我最初是出于学术目的而开发的。 可以在PDF CSRFScanner_Explications.pdf（以法语编写）中找到更多说明。 要求 Python> = 2.6 用法 python main.py [-R] URL Cookie -R是一个可选参数，用于跟随内部链接以扫描整个网站。 URL是要扫描的网页 Cookie是要发送以进行身份​​验证的Cookie。 可以使用Wireshark之​​类的工具，Burp或Webscarab之类的Web代理，TamperData之类的Web浏览器扩展来查看...
CSRF检测工具
12-09
CSRFTester是一款CSRF检测工具 .
Chrome 51 开始，浏览器的 Cookie 新增加了一个SameSite属性，用来防止 CSRF 攻击和用户追踪。
绚烂的天空
12-13 743
Cookie 的SameSite属性用来限制第三方 Cookie，从而减少安全风险。 它可以设置三个值。 Strict Lax None 1、Strict 最为严格，完全禁止第三方 Cookie，跨站点时，任何情况下都不会发送 Cookie。换言之，只有当前网页的 URL 与请求目标一致，才会带上 Cookie。 Set-Cookie: CookieName=CookieValue; SameSite=Strict; 这个规则过于严格，可能造成非常不好的用户体验。比如，当前网页有一个 GitHub 链接，
【 安全】什么是CSRF攻击？如何避免？开发的时候怎么预防？
最新发布
DreamSun的博客
09-14 4278
CSRF定义： 跨站请求伪造（英语：Cross-site request forgery）是一种对网站的恶意利用，也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。CSRF跨站点请求伪造(Cross—Site Request Forgery) 跟XSS攻击一样，存在巨大的危害性。
【教程】chrome关闭跨域策略cors、samesite，跨域带上cookie
yunmuq的博客
06-30 5407
谷歌浏览器允许跨域origin，disable samesite，方便本地开发调试，测试csrf跨站请求伪造漏洞。犹记得两年前，测试csrf漏洞时得心应手。苦了本地调试的开发人员 -disable-site-isolation-trials --disable-web-security --disable-features=SameSiteByDefaultCookies,CookiesWithoutSameSiteMustBeSecure --user-data-dir......
使用编辑器配置Node.js开发环境
[使用编辑器配置Node.js开发环境](https://img-blog.csdnimg.cn/direct/47c5fe5b0e6847f081b60dc38e504d83.png) # 1. Node.js开发环境配置简介** Node.js开发环境配置是成功开发Node.js应用程序的基础。本章将介绍...
web安全阶段学习1
qq_40661620的博客
08-03 280
SQL注入： 基础： 1． SQL注入的原理： SQL注入漏洞的产生需要满足以下两个条件。 • 参数用户可控：前端传给后端的参数内容是用户可以控制的。 • 参数代入数据库查询：传入的参数拼接到SQL语句，并且带入数据库查询。 MySQL与SQL注入相关的知识点： • 在MySQL5.0版本后，MySQL默认在数据库中存放一个‚information_schema‛的数据库，在该库中，我们需要记...
Go 相关的框架，库和软件的精选清单
开发之路
07-03 4933
概述 这是一个Go 相关的框架，库和软件的精选清单，引用自 awesome-go项目，并翻译补充而来这是一个Go 相关的框架，库和软件的精选清单，引用自 awesome-go项目，并翻译补充而来 音频和音乐 用于处理音频的库。 EasyMIDI -EasyMidi是一个简单可靠的库，用于处理标准Midi文件（SMF）。 flac支持FLAC流的Native Go FLAC编码器/...
CSRF跨站请求伪造，含使用教程和测试工具
05-04
CSRF跨站请求伪造，使用OWASP CSRFTester工具可以抓取并伪造请求，其测试原理是，使用代理抓取我们在浏览器中访问过的所有的连接以及所有的表单等信息，通过在CSRFTester中修改相应的表单等信息，重新提交，相当于一次伪造客户端请求，如果修改测试的请求成功被网站服务器接受，则说明存在CSRF漏洞。
渗透测试各种扫描工具集合(好用)
鹿鸣天涯
12-01 4256
转载自security-360.cn，觉得里面一些信息收集和git的工具挺不错的，可以看看。 集合github平台上的安全行业从业者自研开源扫描器的仓库，包括子域名枚举，数据库漏洞扫描，弱口令或信息泄漏扫描，端口扫描，指纹识别以及其他大型扫描器或模块化扫描器。 项目地址：https://github.com/We5ter/Scanners-Box 子域名枚举扫描器或爆破工具 https://github.com/lijiejie/subDomainsBrute(lijiejie开发的一款使用广泛的子域名爆
CSRF漏洞的测试工具_CSRFTester
释梦燃的博客
04-19 1万+
CSRFTester是一款CSRF漏洞的测试工具. 工具的测试原理： 使用代理抓取我们在浏览器中访问过的所有的连接以及所有的表单等信息，通过在CSRFTester中修改相应的表单等信息，重新提交，相当于一次伪造客户端请求，如果修测试的请求成功被网站服务器接受，则说明存在CSRF漏洞，当然此款工具也可以被用来进行CSRF攻击。
安全开发之CSRF(跨域请求伪造）
XZ85201的博客
05-20 1341
概念：CSRF（Cross Site Request Forgery）跨域请求伪造，顾名思义，是在跨域的基础上利用伪造请求而达成的一种攻击手段。
19个方便渗透测试的Chrome扩展
MyDriverC
12-19 9383
Google Chrome是目前世界上最流行的浏览器之一，简洁的界面让他俘获了许多用户，除此之外还具有许多改善浏览体验的功能。与Firefox一样，Chrome也支持插件，称之为“扩展”，这些扩展程序极大地拓展了Chrome的公呢个。数千个扩展程序让我们可以直接在浏览器中执行花样繁多的功能，而不需要安装独立的软件。在这篇文章中，我们将介绍19项好用的安全扩展来把Chrome变成一个安全测试工具。
CSRF
kuiguowei的博客
01-16 1171
CSRF，全称Cross-site request forgery，翻译过来就是跨站请求伪造，是指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法操作（如转账、改密等）。CSRF与XSS最大的区别就在于，CSRF并没有盗取cookie而是直接利用。 C
ERROR 403 以及Chrome 浏览器配置
水墨丹青之码农
01-22 9686
1 问题起源 在使用OpenStack Dashboard的时候出现了403问题 Forbidden (403) CSRF verification failed. Request aborted. Help Reason given for failure: CSRF token missing or incorrect. In general, this can occu
csrf(跨站请求伪造)
weixin_34273481的博客
05-08 86
跨站请求伪造如何体现出功能? 每个用户的form表单都会生成一个字符串,当然(这个后端是肯定知道这个字符串是什么,因为他们公用一套加密方案).假设现在有一个钓鱼网站想模仿正经网站,比如A向B转100元钱,但是钓鱼网站却不知道form表单的字符串是多少,即使伪造了一个网站(首页显示一模一样),填写了相关信息后,向正经网站后台发送转款请求,但是,由于没有特有的字符串,会被后台认为该请求是伪造请求,从...
CSRF攻击与防御（写得非常好）
热门推荐
freeking101的博客
01-28 2万+
  From：https://www.daguanren.cc/post/csrf-introduction.html From：https://blog.csdn.net/stpeace/article/details/53512283 CSRF 攻击的应对之道：https://www.ibm.com/developerworks/cn/web/1102_niugang_csrf WEB三大攻...
Web安全实验：跨站攻击(XSS+CSRF)原理与实战
"本次实验主要关注的是Web安全中的两种重要攻击方式：跨站脚本攻击（XSS）和跨站请求伪造（CSRF）。实验旨在让参与者深入理解这两种攻击的原理，掌握不同级别的攻击实施，并了解相应的防御和修复措施。实验环境为...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值