DVWA系列——CSRF

DVWA系列——CSRF

CSRF跨站伪造请求介绍

CSRF，全称Cross-site request forgery, 翻译过来就是跨站请求伪造，是指利用受害者尚未失 效的身份认证信息(cookie、 会话等)，诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向(身份认证信息所对应的)服务器发送请求，从而完成非法操作 (如转账、改密等)。CSRF 与XSS最大的区别就在于，CSRF并没有盗取ookie而是直接利用

漏洞利用
打开NVWA这里CSRF是一个修改密码的界面
在修改密码时观察url
http://192.168.19.139:89/vulnerabilities/csrf/?password_new=password&password_conf=password&Change=Change#

我们可以通过修改url中的密码和确认密码达到修改密码的目的
再那边cookie没有过期时就可以直接在浏览器用url修改密码这里我们修改为123