burpsuite csrf攻击_CSRF攻击的BurpSuite实战

今天做的是CSRF越权攻击，原理是通过在自己网站或者目标网站，通过模拟发包，替客户端发送请求。

环境配置

考虑其危害性，虽然不是很大，但是考虑到安全问题，所以本次演示需自己搭建实验环境，主要内容是用PHPstudy在本地搭建一个本地网站。

下载并安装PHPstudy

寻找CSRF漏洞

测试网站域名www.incake.net

还是老步骤，注册，点击个人中心。

然后进入“发票管理”页面：

此时，发票信息页面内容为空：

点击添加发票信息并打开BurpSuite抓包

按CTRL+R或者单击右键点击sendto repeater

在Repeater中我们发现这个数据包是存在CSRF漏洞的，不论我们点击GO重放这个数据包几次，都会在发票页中添加新的发票。

制作POC

因此我们可以在这个数据包页面上单击右键-Engagementtools-Generate CSRF POC

在新弹出的页面中，BurpSuite自动生