CSRF跨站请求伪造
2021-12-09 00:08:38 35 举报AI智能生成
csrf
作者其他创作
大纲/内容
简介
<b><font color="#ff0000">CSRF原理</font></b>
程序员开发的时候，未对相关页面进行<b><font color="#ff0000">token</font></b>和<font color="#ff0000"><b>REFERER</b></font>判断，造成攻击者可构造自己的<font color="#ff0000"><b>URL</b></font>地址欺骗目标用户进行<font color="#ff0000"><b>点击攻击</b></font>
检测工具
burp
CSRFTester
CSRF攻击分类
站内
CSRF站内类型的漏洞在一定程度上是由于程序员滥用$_REQUEST类变量造成的。
站外
CSRF站外类型的漏洞本质上就是传统意义上的外部提交数据问题，没有对客户端的操作做限制
CSRF重点攻击
1：CSRF的攻击建立在浏览器与Web服务器的会话之中
2 ：欺骗用户访问URL
如何挖掘CSRF漏洞（CSRF一般与XSS结合使用）
扫描器 （验证referer）
需要手动验证
<font color="#ff0000"><b>修改密码的地方</b></font>
<b><font color="#ff0000">添加用户的地方</font></b>
<b><font color="#ff0000">数据库备份的地方</font></b>
<b><font color="#ff0000">数据交易、支付等</font></b>
<b><font color="#ff0000">等其它一些对话框钓鱼页面</font></b>
攻击流程
自解压缩包
dz数据库备份
修改密码、添加帐号
命令执行
<b><font color="#ff0000">造成危害</font></b>
数据库信息泄露
盗取用户数据
本地网络设备攻击
子主题
防御方法
<b><font color="#ff0000">矫验referer字段</font></b>
<font color="#ff0000"><b>添加token值</b></font>
白名单
增加验证码 、原始密码
0 条评论
下一页
