程序员经验分享-hwhale

中级课程——CSRF

2023-11-09

文章目录

案例

在这里插入图片描述在这里插入图片描述

原理

在这里插入图片描述在这里插入图片描述在这里插入图片描述在这里插入图片描述在这里插入图片描述

在这里插入图片描述

挖掘

挖掘详情

  1. 首先就是对目标敏感部位进行抓包分析，比如修改信息、转账、添加信息等等。通常一个数据包HTTP请求头里边都会有一个Referer，这个需要特别去验证。比如放到Burpsuit Repeater里边去测试：去掉referer，看结果是否有变化。如果没有变化意味着这里的Referer服务器端并未验证，那就继续看下一步。
    104542ahrwts5mcmwo64rh.png
    104542d7kv7du8b3dhpk7k.png
  2. 紧接着就是查看数据包是否存在类似CSRF token的字段、常见的有参数有csrf、token、sid……（一般这些字段的值都是随机字符串），如果没有的话就排除CSRF Token的验证了。转到下一步。

经历了步骤一二之后，发现了隐藏在HTTP头里边的method:Save，意味着这里CSRF是不存在了。
经历了以上三步之后，基本你的CSRF漏洞就到手了

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

网络安全学习笔记

CSRF

前端

web安全

中级课程——CSRF 的相关文章

随机推荐

  • C语言 -- 链表（企业级，侵入式链表）

    目录 节点结构体的实现 初始化链表 插入链表 遍历链表 删除节点 销毁链表 用户test 侵入式链表 内核链表 普通单链表和侵入式单链表的区别在于 普通的单链表的结点指针域指向的是下一个结点的内存首地址 侵入式单链表的结点指针域指向的是下一

  • VUE设置Echarts Loading及样式

    1 先引入echarts import as echarts from echarts 2 利用Echart自带的loading方法 如果是动态数据应该放在请求之前开始loading 初始化 let charts echarts init

  • 前端工作怎么包装简历，需要掌握哪些知识项目

    要想找个好的工作 最少有几个项目实战拿的出来 Web前端岗位需要掌握的知识 一 前端相关概念建立 主要内容 浏览器的概念介绍 浏览器的作用 工作方式 浏览器的概念介绍 浏览器的作用 工作方式 HTTP协议 协议产生的原因 作用 及内容 页面

  • unbutu docker 添加日志

    新建的docker默认是没有日志的 如下展示 tail f var log cron log tail cannot open var log cron log for reading No such file or directory t

  • Windows terminal安装和配置

    Windows terminal终端比cmd强大许多 其中可以包含cmd和powershell甚至ubuntu子系统 同时还可以进行个性化 打造更精美的终端 安装 进入Windows自带的Microsoft Store 搜索Windows

  • 浏览器打开windows桌面应用

    场景需要在浏览器打开桌面安装的lis应用 这里用到注册表 注意 后面的 路径 两个斜杠 lis可以替换成其他需要打开的应用 lis reg 如下 保存双击执行下 Windows Registry Editor Version 5 00 HK

  • Android 集成 支付宝

    一 到支付宝官网https b alipay com order techService htm channel psl下载 快捷支付 无线 开发包 将alipay sdk common文件夹下的alipaysdk jar alipayse

  • 基本排序算法

    前言 该算法总结针对的是算法设计与分析课程所提到的算法 对于不同的人群可能获益有所不同 在叙述时会对一些较为简单的算法进行概性描述 目的是简单的告诉读者算法实现的基本原理 对一些较为复杂的算法则会付诸大量的笔墨 以求对算法的理解能够更加的透

  • 「转」plt.legend()简明使用教程

    原文链接https blog csdn net helunqu2017 article details 78641290 感谢作者辛勤付出 仅作笔记使用 侵删 1 图例legend基础语法及用法 legend语法参数如下 matplotli

  • 用一个程序员的角度来遐想第五代或第六代计算机

    提前申明 我对这一行了解的不够深入 或许是因为这才所以初生牛犊不怕虎 以至于对计算机有很多构想 我先来说一下当今计算机的发展历程 第一代 1946 1957年 是电子计算机 它的基本电子元件是电子管 内存储器采用水银延迟线 外存储器主要采用

  • TensorFlow2.1.0安装教程

    TensorFlow2 1 0安装教程 安装步骤 常用IDE安装 CUDA安装 CUDA软件安装 cuDNN神经网络加速库安装 配置环境变量 TensorFlow安装 更新 TensorFlow是一款优秀的深度学习框架 支持多种常见的操作系

  • 从0到1搭建 Rollup + TypeScript 模板工程

    哈喽 大家好 我是 SuperYing 今天我们来聊聊如何从 0 到 1 搭建一个 Rollup TypeScript 工具库模板工程 包括从创建文件夹开始 到依赖配置 打包编译等一整套内容 Rollup 是一个 JavaScript 模块

  • CWE-125: Out-of-bounds Read（越界读取）

    ID 125 类型 基础 结构 简单 状态 草稿 描述 软件读取缓冲区之前或者之后的数据 扩展描述 通常 这会允许攻击者从其它内存位置读取敏感信息或导致崩溃 假定存在用于停止读取操作 如字符串中的nul 的哨兵变量时 当代码读取可变数量的数

  • 哨兵架构&redisCluster-Redis（五）

    上篇文章介绍了主从架构以及lua脚本 主从架构 lua脚本 Redis 四 https blog csdn net ke1ying article details 131159229 Sentinel集群 主从的搭建我们已经完成 但如果主节

  • 优化命令之top——实时显示进程动态/查看进程信息

    目录 一 top简介 二 启动TOP 2 1第一行含义 2 2第二行含义 2 3第三行含义 2 4第四行含义 2 5第五行含义 2 6第六行含义 三 top常用按键 3 1按 Z 键更改输出的颜色 我发现这让输出更容易被眼睛看到 3 2 按

  • ctypes.ArgumentError: argument 2: type 'exceptions.TypeError': Don't know how to convert parameter

    错误描述 我在用python的ctypes库调用c 的 so文件时候 出现了下面的错误 ctypes ArgumentError argument 2

  • Java权限修饰符

    权限修饰符可以用来修饰属性和方法的访问范围 本类 同包 子类 其他 private 默认 protected public 默认 是什么修饰符都不加

  • 【mcuclub】数码管

    一 实物图 二 原理图 1 数码管介绍 1 1 作用 数码管是显示器件 用来显示数字 1 2 分类 单个 1位 联排 2位 4位 8位 1 3 工作原理 1 亮灭原理 其实就是内部的照明LED 2 显示数字 甚至文字 原理 利用内部的LED

  • Qt中的QString与int、const char 、ASCII码互相转换

    1 QString 转 int bool ok QString str1 0xf8 int value1 str1 toInt ok 16 qDebug lt lt ok lt lt lt lt value1 true 248 QStrin

  • 中级课程——CSRF

    文章目录 案例 原理 挖掘 案例 原理 挖掘 挖掘详情 首先就是对目标敏感部位进行抓包分析 比如修改信息 转账 添加信息等等 通常一个数据包HTTP请求头里边都会有一个Referer 这个需要特别去验证 比如放到Burpsuit Repea

热门标签