[小迪安全29天]CSRF和SSRF

最新推荐文章于 2024-07-22 16:29:58 发布
最新推荐文章于 2024-07-22 16:29:58 发布
阅读量349 收藏 3
点赞数
分类专栏： 小迪安全笔记 文章标签： 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_54252904/article/details/117426789
版权

CSRF和SSRF

CSRF跨站请求伪造

通过修改数据抓取数据包
在这里插入图片描述

提取修改数据的报文
在这里插入图片描述

通过在外网的服务器上建立数据包
在这里插入图片描述

当后台管理处于登录状态不小心访问到刚才抓取数据包修改信息的网站时，就会触发恶意代码
在这里插入图片描述
信息被修改
在这里插入图片描述

检测是否存在CSRF

利用工具Burpsuit
抓取修改信息的数据包，并把其发送到Burpsuit的CSRF poc模块
在这里插入图片描述
修改一些信息，并复制
在这里插入图片描述
复制到外网服务器的网站中
在这里插入图片描述
当点击外网服务器的提交时，信息就被修改
在这里插入图片描述
信息成功修改
在这里插入图片描述

防御方案

随机Token和同源策略

最低0.47元/天 解锁文章
道长在此
关注
专栏目录
SSRF与CSRF
qq_48829044的博客
06-19 1759
ssrf的基础知识
csrf和ssrf漏洞的原理是？如何防御和利用csrf和ssrf漏洞
DXfighting_的博客
04-14 989
Csrf原理： CSRF是一种依赖web浏览器的、被混淆过的代理人攻击。 防御csrf漏洞： 验证token，验证HTTP请求的Referer，还有验证XMLHttpRequests里的自定义header Ssrf漏洞原理： 很多web应用都提供了从其他的服务器上获取数据的功能。使用指定的URL，web应用便可以获取图片，下载文件，读取文件内容等。SSRF的实质是利用存在缺陷的web应用作为代理攻击远程和本地的服务器。一般情况下， SSRF攻击的目标是外网无法访问的内部系统，黑客可以利用S
小迪安全学习笔记--第29天web漏洞-csrf及ssrf漏洞案例讲解
zr1213159840的博客
01-06 677
csrf漏洞解释，原理等 黑客利用某网站用户的登录状态，然后伪造请求的链接，造成对登录态用户的修改等各种危险操作 csrf漏洞检测，案例，防御等 漏洞的检测： 在bp中是存在检测工具的，通过生成的代码放在自己的服务器上运行是能判定是否存在csrf漏洞的 防御方案 1.当用户发送重要的请求时需要输入原始密码 2.设置随机token 3.检查referer来源，看host和referer来判断是否是自己修改的 4.设置密码 5.限制请求方式只能是post SSRF漏洞解释，原理等 运用服务器本身在获取链接的时候
CSRF&SSRF
Lenovoliao的博客
04-13 1203
SSRF（Server-Side Request Forgery，服务端请求伪造）是一种安全漏洞，允许攻击者发送伪造的请求，使目标服务器在其内部网络或本地系统上执行操作，而无需直接与攻击者进行通信。这种漏洞通常发生在应用程序未正确验证用户提供的输入并将其用作远程资源的请求目标时。SSRF 的危害包括：内部网络访问: 攻击者可以利用 SSRF 漏洞访问目标服务器内部网络上的资源，包括敏感数据、配置信息等。这可能导致信息泄露或其他更严重的攻击。
CSRF与SSRF
最新发布
qq_73792226的博客
07-22 1225
CSRF定义：CSRF是一种由攻击者构造形成，利用用户在已登录的网站中提交非法请求的行为。攻击者通过伪造用户提交的请求，将恶意请求发送至受信任的网站，导致用户在不知情的情况下执行恶意操作。原理：CSRF攻击利用了网站对用户网页浏览器的信任。攻击者通过诱使用户访问一个恶意网页（通常是通过邮件、消息或恶意网站链接），该网页中包含了一个指向受信任网站的恶意请求。由于用户的浏览器在访问该网站时已经处于登录状态，因此这个恶意请求会携带用户的认证信息（如Cookie），从而被受信任的网站信任并执行。SSRF。
小迪安全--csrf和ssrf
wcwdnmdnmd的博客
08-26 366
csrf和ssrf
浅谈CSRF和SSRF
xdjxi的博客
03-28 4534
CSRF（跨站请求伪造） CSRF原理 1.有一个漏洞存在(无需验证、任意修改后台数据、新增请求)； 2.伪装数据操作请求的恶意链接或者页面; 3.诱使用户主动访问或登录恶意链接，触发非法操作; 产生的条件 1.需要目标站点或系统存在一个可以进行数据修改或者新增操作，此操作被提交后台后的过程中，其未提供任何身份识别或校验的参数 2.后台只要收到请求，就立即下发数据修改或新增的操作 漏洞的危害 1.用户密码的修改 2.购物地址的修改 3.后台管理账户的新增 防御方法 1.验证 HTT
第29天：WEB漏洞-CSRF及SSRF漏洞案例讲解1
08-03
1、当用户发送重要的请求时需要输入原始密码 3、检验 referer 来源，请求时判断请求链接是否为当前管理员正在使用的页面（管理员在编辑文章， 4、设置验证码
CSRF与SSRF与XXE
j1044957016的博客
05-31 682
文章目录前言一、CSRF1.CSRF的简介2.CSRF的防御与检测二、SSRF1.SSRF简介2.SSRF容易出现的地方3.SSRF会造成的危害4.防御措施总结 前言 系统的梳理下CSRF和SSRF的知识点 一、CSRF 1.CSRF的简介 CSRF又称跨站请求伪造，XSS就是CSRF中的一种。跨站请求伪造指的是伪造客户端请求。 发生条件： 用户在正常网站A登录的情况下 访问了保存有恶意代码的另一个网站B B网站劫持用户的登陆状态以用户的身份对网站A发送请求，一般是劫持了COOKIE信息。 当服务端对这
CSRF及SSRF详解
剁椒鱼头没剁椒的博客
11-29 5107
  CSRF（Cross-site Request Forgery，跨站请求伪造）是一种针对网站的恶意利用。   CSRF攻击可以利用用户已经登陆或已经授权的状态，伪造合法用户发出请求给受信任的网点，从而实现在未授权的情况下执行一些特权操作。  1）首先用户登录网站，并且生产本地的cookie。   2）用户在未登陆出网站的时候，访问攻击者构建的恶意网站。   当然若你关闭网站去访问恶意网站就会避免该问题，但不是绝对的，相信在日常使用中都会存在浏览器同时打开多个页面，很少说有人去访问一个网站的时候把另外的网
浅谈csrf和ssrf
西部壮仔的博客
02-01 909
CSRF CSRF，本名为Cross-site requestforgery，也就是跨站请求伪造。 说到CSRF，不得不提一下XSS。CSRF看起来好像和XSS跨站脚本攻击有着“不得不说的秘密”，实则却是两个不同维度的情况。从名字上来看，同为跨站攻击，XSS攻击是跨站脚本攻击，CSRF攻击是请求伪造，也就是CSRF攻击本不是出自用户之手，却经过第三方恶意攻击者的处理，伪装成了受信任用户的“亲历亲为...
web漏洞“小迪安全课堂笔记”CSRF及SSRF
weixin_42902126的博客
03-25 1138
什么是CSRF ？怎么做？ CSRF:跨站请求伪造（Cross-site request forgery） CSRF是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。 当用户访问含有恶意代码的网页时,会向指定正常网站发送非本人意愿的数据请求包（如转账给hack,向hack发送API等）如果此时用户恰好登录了该正常网站（也就是身份验证是正常的）就会执行该恶意代码的请求，从而造成CSRF。 与在XSS章节中提到的在博客里写入获取cookie的代码，在管理员登录后台查看时就会窃取其cook
CSRF 与 SSRF
samli的博客
03-12 771
CSRF漏洞简介 CSRF（Cross-site request forgery，跨站请求伪造），是指利用受害者尚未失效的身份认证信息（ cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法操作（如转账、改密等）。CSRF与XSS最大的区别就在于，CSRF并没有盗取cookie而是直...
浅谈CSRF与SSRF
热门推荐
pygain的博客
10-24 1万+
今天看在看《XSS跨站脚本攻击剖析与防御》的时候，里边提到了CSRF与SSRF，在网络查询了这部分的资料后，简单总结了下二者的关系与不同
CSRF和SSRF
bossDDYY的博客
07-27 1535
CSRF 和 SSRF
csrf&ssrf漏洞详解
weixin_56714714的博客
07-25 1509
CSRF 什么是CSRF？ 跨站请求伪造也叫CSRF/XSRF 攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。如下：其中Web A为存在CSRF漏洞的网站，Web B为攻击者构建的恶意网站，User C为Web A网站的合法用户。 CSRF攻击的危害 CSRF攻击:攻击者盗用了你的身份，以你的名义发送恶意请求 CSRF危害：以你的名义发送邮件，发
web漏洞-CSRF及SSRF漏洞
weixin_46425310的博客
06-17 214
web漏洞-CSRF及SSRF漏洞 CSRF：在引导用户访问的恶意网页中植入恶意请求包（例如转账请求），当用户在登录手机银行时同时访问恶意网页，就会执行该恶意请求。 如何检测有没有csrf:可以用burpsuite的CSRF poc generator模块来检测 防御方案： * tooken验证，每一个数据包包含一个tooken值，会根据tooken的值来判断执不执行数据包； * 同源策略验证 * 设置验证码 * 限制请求方式只能为post SSRF：服务器请求伪造，攻击者无法直接探测到内网主机信息，但可以
CSRF和SSRF详解
mr_yuyou的博客
10-12 2694
CSRF和SSRF详解： CSRF是什么： CSRF跨站点请求伪造(Cross-Site Request Forgery)，在手段上与XSS漏洞相似，通过盗取被攻击者的身份，以用攻击者的身份去访问服务器，进行操作 CSRF攻击原理： 被攻击者打开浏览器，访问网站A，输入用户名和密码，发送请求，服务器接收请求，返回响应，其中包含用户的cookie信息。 被攻击者在网站A cookie的有效期内，访问攻击者搭建的网站，被攻击者的网站含有恶意代码，因为浏览器含有网站A的Cookie，所以攻击者可以通过自己搭建的
代码审计之csrf,ssrf
willow_liang的博客
11-12 582
CSRF (Cross -site request forgery)跨站请求伪造 csrf原理： 攻击者盗用了你的身份，以你的名义向第三方网站发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件，发私信，添加管理用户，甚 至于交易转账等。 攻击者在用户浏览网页时，利用页面元素(例如img的src)，强迫受害者的浏览器向Web应用程序发送一个改变用户信息的请求。由于发生CSRF攻击后，攻击者是强迫用户向服务器发送请求，所以会造成用户信 息被...
csrf和ssrf区别
08-06
回答: CSRF 和 SSRF 是两种不同的攻击方式。 CSRF（Cross-Site Request Forgery，跨站请求伪造）攻击是由于服务器没有对用户提交的数据进行严格的控制，导致攻击者可以利用用户的身份信息（如 cookie）伪造用户身份，向服务器发送请求。攻击者可以通过构造特定的请求，诱使用户在受信任的网站上执行恶意操作，从而实现攻击目的。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值