CSRF攻击时无法以Content-Type:Application/json来发送请求嘛?

已于 2023-01-04 20:29:02 修改
阅读量350 收藏 1
点赞数
分类专栏： 安全 文章标签： csrf
于 2023-01-04 20:26:51 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42299862/article/details/128553883
版权

背景：
CSRF是被攻击者访问恶意网页后，恶意网页向存在漏洞的网站发送请求。
但恶意网页向漏洞的网站发送请求时，如果请求是post形式，只能发送content-type为application/x-www-form-urlencoded的请求，没法发送content-type为application/json的。

application/json的content-type只能通过js发送ajax请求来设置。
但js的ajax跨域又会限制application/json的，故需要在使用XMLHttpRequest时，按照CORS规范，自定义Header将调用一个预检请求。

如果业务系统的接口仅支持Application/json（比如我们将Content-Type改成text/plain或者application/x-www-form-urlencode时服务器会报错），我们就得出结论：无法进行CSRF攻击。

绕过方法：
https://blog.csdn.net/Lee_Natuo/article/details/83749809

小猫咪不想写代码
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
101.网络安全渗透测试—[常规漏洞挖掘与利用篇17]—[json劫持漏洞与测试]
qwsn
02-07 4271
我认为，无论是学习安全还是从事安全的人，多多少少都有些许的情怀和使命感！！！ 文章目录 一、json劫持漏洞概念 （1）json劫持概念 （2）json劫持攻击 二、json劫持漏洞测试 （1）json劫持漏洞测试流程与方法 （2）json漏洞页面源码：`json.php` （3）测试json.php是否存在漏洞：`json-poc.html` （4）劫持json数据，发送给远程服务器
服务的校验Content-Type，只接收application/json格式的CSRF绕过方法
Lee_Natuo的博客
11-05 3278
如何在JSON端点上利用CSRF漏洞 转载自：https://www.freebuf.com/articles/web/164234.html Alpha_h4ck （CSRF + Flash + HTTP 307）=别说了，你已经“死”了！ 如果你想通过第三方攻击者控制的服务器在JSON端点利用一个CSRF漏洞的话，我给大家推荐一个名叫json-flash-csrf-poc的GitH...
CSRF，后端限定Content-Type为application/json场景下，仅支持 POST/PUT/DELETE（不支持 GET）情况下， 无法利用该漏洞
最新发布
ruangongtaotao的专栏
06-21 212
作为常见漏洞，一直受到关注和研究，JSON是一种应用广泛的轻量级数据交换格式，当CSRF去POST一段JSON，情况可能会变得有些不一样；参照外国基佬的做法，我们可以给value赋值从而对这个“=”后面的数据进行补全，使得其构成一个完整的JSON格式，可避免解析器报错（JSON Padding）。很明显，这是个编辑某种信息的操作，POST的是一段JSON，且没有对token和referer的验证 .不过这样POST的数据包会多一个"=“,因为我们虽然把value置为空，然后还是会出现"name=”。
CSRF与JSON
weixin_30433075的博客
11-08 307
之前遇到提交json的请求想要进行csrf攻击都是用的闭合表单的方法，很笨很麻烦， 这次看到了别人的操作记录一下. 这里用到了ajax异步请求（但是这里我有个疑问就是：这里用到了cors跨域，是不是必须服务器端也支持cors且又配置错误的情况才可以用此方法？待验证） <html> <body> <script> functio...
json csrf html5,谈谈Json格式下的CSRF攻击
weixin_42449311的博客
06-28 450
原标题：谈谈Json格式下的CSRF攻击一、CSRF漏洞简介csrf漏洞的成因就是网站的cookie在浏览器中不会过期，只要不关闭浏览器或者退出登录，那以后只要是访问这个网站，都会默认你已经登录的状态。而在这个期间，攻击者发送了构造好的csrf脚本或包含csrf脚本的链接，可能会执行一些用户不想做的功能(比如是添加账号等)。这个操作不是用户真正想要执行的。在post标准化格式(accounts=t...
content-type-research:内容类型研究
03-19
可用于CSRF的错误的Content-Type解析的示例。例如，发送不带CORS预检请求的将被解释为JSON的HTTP请求的功能。可以与在HTTP请求中需要布尔值或数组的攻击（PHP Type Juggling，NoSQL Injection，Prototype Pollution...
paypal-52:伊甸园JS贝宝API
07-08
'Content-Type': 'application/json' }, body: JSON.stringify({ orderID: data.orderID }) }).then(function(res) { return res.json(); }).then(function(details) { // 显示支付成功信息或处理错误 });...
www-committee-project:OWASP Foundation Web存储库
03-10
OWASP（Open Web Application Security Project）基金会是一个专注于网络应用程序安全的全球性社区。该组织致力于提供免费资源，教育和帮助开发者、安全专业人员以及公众理解并应对网络安全威胁。...
微信小程序学习用demo：熊皮：学习基础网络请求
03-15
'content-type': 'application/json' // 默认值 }, success(res) { console.log(res.data) }, fail(err) { console.log(err) }, complete() { console.log('请求完成') } }) ``` 3. **响应数据处理**...
login登录界面
08-08
'Content-Type': 'application/json' }, body: JSON.stringify({username, password}) }).then(response => { if (!response.ok) throw new Error('网络错误'); return response.json(); // 返回JSON数据 })....
一次渗透测试引发的Json格式下CSRF攻击的探索
weixin_52501704的博客
03-10 545
一次渗透测试引发的Json格式下CSRF攻击的探索
web过滤器中获取请求的参数(content-type:multipart/form-data)
weixin_30297281的博客
12-21 580
1.前言： 　　1.1 在使用springMVC中，需要在过滤器中获取请求中的参数token，根据token判断请求是否合法； 　　1.2通过requst.getParameter(key)方法获得参数值; 　　　　这种方法有缺陷：它只能获取 POST 提交方式中的Content-Type: application/x-www-form-urlencoded; 　　 Ht...
POST提交数据之---Content-Type的理解；
u010227042的博客
08-15 324
Content-Type是指http/https发送信息至服务器时的内容编码类型，contentType用于表明发送数据流的类型，服务器根据编码类型使用特定的解析方式，获取数据流中的数据。 在网络请求中，常用的Content-Type有如下： text/html, text/plain, text/css, text/javascript, image/jpeg, image/png, image/gif, application/x-www-form-urlencoded, multipart/f...
【CSRF技巧拓展】————3、关于JSON CSRF的一些思考
Fly_鹏程万里
01-23 763
CSRF作为常见漏洞，一直受到关注和研究，JSON是一种应用广泛的轻量级数据交换格式，当CSRF去POST一段JSON，情况可能会变得有些不一样；此次就一种特殊情况下的CSRF进行分析，权当抛砖引玉。  某次遇到一个没有验证token与referer的CSRF。 其原始数据包为： POST /webnet/edit HTTP/1.1 Host: www.xxx.com User-Agent...
CSRF 校验CONTENT-TYPE绕过
weixin_30886233的博客
05-18 170
一：flash配合307跳转绕过 利用方式：http://remote_ip/csrf/test.swf?jsonData={"status":"0","roleId":5,"name":"csrftest_2","username":"csrftest_2","password":"637c3de5385ae556ac6bf955340a713f"}&php_url=http://rem...
「网络安全渗透」如果你还不懂CSRF？这一篇让你彻底掌握
yinjiyufei的博客
01-14 3210
「网络安全渗透」如果你还不懂CSRF？这一篇让你彻底掌握
关于JSON CSRF的一些思考
zhangge3663的博客
04-23 742
CSRF作为常见漏洞，一直受到关注和研究，JSON是一种应用广泛的轻量级数据交换格式，当CSRF去POST一段JSON，情况可能会变得有些不一样；此次就一种特殊情况下的CSRF进行分析，权当抛砖引玉。 某次遇到一个没有验证token与referer的CSRF。 其原始数据包为： POST /webnet/edit HTTP/1.1 Host: www.xxx.com User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:53.0) Gecko/201.
谈谈Json格式下的CSRF攻击
Coisini的博客
06-27 4487
一、CSRF漏洞简介 csrf漏洞的成因就是网站的cookie在浏览器中不会过期，只要不关闭浏览器或者退出登录，那以后只要是访问这个网站，都会默认你已经登录的状态。而在这个期间，攻击者发送了构造好的csrf脚本或包含csrf脚本的链接，可能会执行一些用户不想做的功能（比如是添加账号等）。这个操作不是用户真正想要执行的。 在post标准化格式（accounts=test&password...
return func(c *gin.Context) { origin := c.Request.Header.Get("origin") //请求头部 if len(origin) == 0 { origin = c.Request.Header.Get("Origin") } //接收客户端发送的origin （重要！） c.Writer.Header().Set("Access-Control-Allow-Origin", origin) //允许客户端传递校验信息比如 cookie (重要) c.Writer.Header().Set("Access-Control-Allow-Credentials", "true") c.Writer.Header().Set("Access-Control-Allow-Headers", "Content-Type, Content-Length, Accept-Encoding, X-CSRF-Token, Authorization, accept, origin, Cache-Control, X-Requested-With") //服务器支持的所有跨域请求的方法 c.Writer.Header().Set("Access-Control-Allow-Methods", "OPTIONS, GET, POST, PUT, DELETE, UPDATE") c.Writer.Header().Set("Content-Type", "application/json; charset=utf-8") // 设置预验请求有效期为 86400 秒 c.Writer.Header().Set("Access-Control-Max-Age", "86400") if c.Request.Method == "OPTIONS" { c.AbortWithStatus(204) return } c.Next() }
06-09
使用 CSRF token 可以比较安全地传递校验信息。CSRF token 是一种防止跨站请求伪造攻击的技术，其原理是在服务器端生成一个随机字符串（token），并将其放入登录用户的 session 中，然后将该 token 发送给客户端，客户端每次请求时需要将该 token 一并发送给服务器，服务器验证该 token 是否与用户 session 中的一致，从而确定该请求是否有效。这样即使攻击者在客户端伪造请求，由于没有正确的 CSRF token，服务器会拒绝该请求。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值