web-csrf

8月前作者：偷吃"游"的阿彪分类：Toy博客阅读(26) 违法举报

这篇具有很好参考价值的文章主要介绍了web-csrf。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

目录

CSRF与XSS的区别：

get请求

原理：

pikachu为例

post请求

pikachu为例

CSRF与XSS的区别：

CSRF是借用户的权限完成攻击，攻击者并没有拿到用户的权限，而XSS是直接盗取到了用户的权限

get请求

原理：

A在某个网站更改我们所需要的信息信息点击提交，用bp开启抓包。然后把更改数据的get请求网址复制出来发给B。当B点击这个链接打开的时候，如果B恰好登陆我们的目标网站，信息就会修改成功。

靶场：pikachu的get，dvwa的low

pikachu为例

lili用户进行信息更改界面，然后把提交的链接发送给allen

web-csrf,web,csrf

用bp进行抓包

GET /vul/csrf/csrfget/csrf_get_edit.php?sex=777888&phonenum=777888&add=777888&email=777888&submit=submit

构造payload

http://8.130.137.228:84/vul/csrf/csrfget/csrf_get_edit.php?sex=777888&phonenum=777888&add=777888&email=777888&submit=submit

将payload发送给allen,allen进行点击

web-csrf,web,csrf

post请求

pikachu为例

可以看到我们进行修改的参数在请求体中可以看到

web-csrf,web,csrf

利用bp的poc（一个html页面）生成网址链接

web-csrf,web,csrf

web-csrf,web,csrf

web-csrf,web,csrf

访问这个链接的时候是不能关闭bp的代理的。访问到这个界面之后，就要关闭bp代理，点击按钮就修改信息成功了

web-csrf,web,csrf

防护措施：

①对敏感信息的操作增加安全的token；

②对敏感信息的操作增加安全的验证码；

③对敏感信息的操作实施安全的逻辑流程，比如修改密码时，需要先校验旧密码等。

④用referer来限制访问跳转页面

文章来源地址https://www.toymoban.com/news/detail-634223.html

到了这里，关于web-csrf的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：如若内容造成侵权/违法违规/事实不符，请点击违法举报进行投诉反馈，一经查实，立即删除！

分享到：

领支付宝红包赞助服务器费用

《WEB安全漏洞100讲》（第4讲）CSRF漏洞

CSRF(Cross-site request forgery)，跨站请求伪造，简写 CSRF/XSRF。指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法操作

2023年04月08日
浏览(37)
前端面试：【XSS、CSRF、CSP】Web安全的三大挑战

嗨，亲爱的Web开发者！在构建现代Web应用时，确保应用的安全性至关重要。本文将深入探讨三个常见的Web安全威胁：XSS（跨站脚本攻击）、CSRF（跨站请求伪造攻击）和CSP（内容安全策略），以帮助你了解并应对这些威胁。 1. XSS（跨站脚本攻击）： XSS是一种攻击方式，攻击者

2024年02月11日
浏览(35)
常见web安全漏洞-暴力破解，xss，SQL注入，csrf

1，暴力破解原理：使用大量的认证信息在认证接口进行登录认证，知道正确为止。为提高效率一般使用带有字典的工具自动化操作基于表单的暴力破解 --- 若用户没有安全认证，直接进行抓包破解。验证码绕过 on s

2023年04月12日
浏览(46)
Web系统常见安全漏洞介绍及解决方案-CSRF攻击

🐳博客主页：拒绝冗余 – 生命不息，折腾不止 🌐订阅专栏：『Web安全』 📰如觉得博主文章写的不错或对你有所帮助的话，还望大家多多支持呀！ 👉关注✨、点赞👍、收藏📂、评论。 CSRF跨站请求伪造，全称Cross-site request forgery，是指利用受害者尚未失效的身份认证信息

2024年01月22日
浏览(38)
WEB安全-SQL注入，CSRF跨站伪造，OXX跨站脚本

目录 SQL 注入攻击字符串型数字型参数化型盲注型 python解决SQL注入 CSRF 跨站伪造攻击 Django防止CSRF手段 CSRF攻击只会在表单上吗？ XSS 跨站脚本攻击其他攻击 SQL 注入是一种网络攻击手段，攻击者通过在 Web 应用程序的输入字段中插入恶意 SQL 代码，试图访

2024年02月14日
浏览(35)
万字讲解9种Web应用攻击与防护安全。XSS、CSRF、SQL注入等是如何实现的

OWASP（开放Web软体安全项目- Open Web Application Security Project）是一个开源的、非盈利的全球性安全组织，致力于应用软件的安全研究。使命是使应用软件更加安全，使企业和组织能够对应用安全风险做出更清晰的决策。 http://www.owasp.org.cn/ OWASP在业界影响力： OWASP被视为web应用

2023年04月15日
浏览(45)
（29.1）【CSRF详解】CSRF原理、利用过程、分类、举例、工具……

目录 CSRF 一、简介：二、CSRF与XSS的区别： XSS CSRF 三、原理：四、基本流程：五、危害：六、分类：站外攻击：站内攻击：七、举例： Get提交方法： Post提交方法：未进行CSRF-token验证位置：原理： cookie中的token： FLASH CSRF 属性： Json劫持简介：获取数据的方式：利用

2024年02月08日
浏览(26)
第一天什么是CSRF ？

✅作者简介：大家好，我是Leo，热爱Java后端开发者，一个想要与大家共同进步的男人😉😉 🍎个人主页：Leo的博客 💞当前专栏：每天一个知识点 ✨特色专栏： MySQL学习 🥭本文内容：什么是CSRF ？ 🖥️个人小站：个人博客，欢迎大家访问 📚个人知识库：知识库，欢迎大

2024年02月14日
浏览(50)
CSRF和SSRF

Cross-site request forgery，跨站脚本伪造（客户端）。CSRF通过伪装来自受信任的用户的请求来攻击受信任的网站。与XSS相比，CSRF攻击往往不太流行（因此对其进行防范的资源也是相当紧缺的）和难以防范的，所以被认为比XSS更具危险性。 CSRF攻击：首先攻击者会先盗用你的身份

2024年02月04日
浏览(31)
CSRF及SSRF详解

CSRF（Cross-site Request Forgery，跨站请求伪造）是一种针对网站的恶意利用。 CSRF攻击可以利用用户已经登陆或已经授权的状态，伪造合法用户发出请求给受信任的网点，从而实现在未授权的情况下执行一些特权操作。 1）首先用户登录网站，并且生产本地的cookie。

2023年04月22日
浏览(47)