[实战]挖掘CSRF姿势

[-]CSRF是个什么鬼？

　　|___简单的理解：

　　　　|----攻击者盗用了你的身份，以你的名义进行某些非法操作。CSRF能够使用你的账户发送邮件，获取你的敏感信息，甚至盗走你的财产。

　　|___CSRF攻击原理:

　　　　|----当我们打开或者登陆某个网站的时候，浏览器与网站所存放的服务器将会产生一个会话(cookies)，在这个会话没有结束时，你就可以利用你的权限对网站进行操作。然而，攻击者就是利用这个特性，让受害者触发我们构造的表单或者语句，然后达到攻击者想要达到的目的。

[+]如何构造表单？

　　|___GET方法的表单很简单，直接在url构造触发。

　　　　|----略。

　　|___POST表单构造(主要演示这个).

　　　　|----工具用Burpsuite 或者 CSRFTest(此处主要用前者)。

[*]实战开始:

　　|----目标站:http://119.29.55.24

　　|----目标漏洞地址:注册后登陆网站，漏洞存在于修改密码处，因为没有做任何防护(连二次验证都没有！！好歹验证码也要给个啊)

　　|----开启burpsuite抓包。

　　|----右键抓到的这个然后一次选择 Engagement tools--->Generate CSRF Poc保存段表单代码到本地。

　　*注:hash那段删掉也可以继续用，请自测，你也可以保留。

　　|___然后切换个浏览器切换个用户，再用该浏览器打开本地保存的表单。点击Submit按钮，之后就可以看到"密码修改成功"，这代表，构造的CSRF触发成功！！

　　　　|----这里我用GoogleChrome重新注册了一个账号触发这个构造的表单。

你退出重新登陆的时候可以发现，密码被修改了！

如果是用户量大的，可以直接修改目标账号。管理员账号也是可以修改。

顺便告诉个小技巧，用js自动触发就不用受害者点击Submit提交表单哦。意思就是，别人点击连接就可以直接触发csrf！

转载于:https://www.cnblogs.com/loid/p/5746444.html

[实战]挖掘CSRF姿势相关推荐

Python数据分析与实战挖掘
<Python数据分析与实战挖掘> 张良均基础篇书推荐:<用python做科学计算> 扩展库简介 Numpy数组支持,以及相应的高效处理函数 Scipy矩阵支持,以及相应 ...
【笔记】《Python数据分析与实战挖掘》
<Python数据分析与实战挖掘> 张良均基础篇书推荐:<用python做科学计算> 扩展库简介 Numpy数组支持,以及相应的高效处理函数 Scipy矩阵支持,以及相应 ...
实战getshell新姿势-SSRF漏洞利用与getshell实战
实战getshell新姿势-SSRF漏洞利用与getshell实战一.什么地方最容易出现SSRF 二.SSRF漏洞危害三.SSRF 神器 Curl 的使用四.最常用的跳转绕过五.Python ...
Django从理论到实战(part53)--CSRF攻击
学习笔记,仅供参考,有错必纠摘自:某网课笔记文章目录 CSRF攻击 CSRF攻击概述 CSRF攻击原理防御CSRF攻击 CSRF攻击 CSRF攻击概述 CSRF(Cross Site Reque ...
实战挖掘某出版社漏洞集合
0x00 前言之前挖漏洞时,碰到的一个出版社漏洞,也是挺有名的,看码猜社哈哈. 0x01 主站XSS 主页搜索框,发现是get传参 http://www.*****.com/so.htm?& ...
html中的锚记实战挖掘
1.定义锚记连接是网页制作中超级链接的一种,又叫命名锚记.命名锚记像一个迅速定位器一样是一种页面内的超级链接,运用相当普遍. 2.适用场景当一个页面过长,拖动起来非常的费劲,于是在本页面建立锚点链 ...
实战挖掘一个某公司网站漏洞
作为一个资深安全菜鸟,主要是讲解常规挖洞的一个流程和思路,以找到的一个某公司sql注入为例,大佬轻喷网上很多资料及博客都有讲解,通过搜索引擎寻找网站漏洞,实际上整个挖洞的过程基本上是撞大运,掏出谷歌 ...
.hpp文件_文件上传漏洞另类绕过技巧及挖掘案例全汇总
文件上传漏洞作为获取服务器权限最快的方式,虽然相关资料很多,但很多人对上传校验方式.如何针对性绕过检测.哪种上传和解析的场景会产生危害等还是比较模糊.本文作一些阐述,然后补充一些除了上传webshel ...
上传绕过php文件改为图片,文件上传漏洞另类绕过技巧及挖掘案例全汇总
文件上传漏洞作为获取服务器权限最快的方式,虽然相关资料很多,但很多人对上传校验方式.如何针对性绕过检测.哪种上传和解析的场景会产生危害等还是比较模糊.本文作一些阐述,然后补充一些除了上传webshel ...

[实战]挖掘CSRF姿势

[实战]挖掘CSRF姿势相关推荐

最新文章

热门文章