小迪安全学习笔记--第29天web漏洞-csrf及ssrf漏洞案例讲解

csrf漏洞解释，原理等

黑客利用某网站用户的登录状态，然后伪造请求的链接，造成对登录态用户的修改等各种危险操作

csrf漏洞检测，案例，防御等

漏洞的检测：

在bp中是存在检测工具的，通过生成的代码放在自己的服务器上运行是能判定是否存在csrf漏洞的

防御方案

1.当用户发送重要的请求时需要输入原始密码

2.设置随机token

3.检查referer来源，看host和referer来判断是否是自己修改的

4.设置密码

5.限制请求方式只能是post

SSRF漏洞解释，原理等

运用服务器本身在获取链接的时候会访问的原理，去利用这一点探测内网等各种信息

SSRF漏洞检测，案例，防御等

各个协议调用探针：http，file，dict，ftp，gopher等

漏洞攻击：端口扫描，指纹识别，漏洞利用，内网探针等

端口扫描就是利用内网的情况