Python安全之繞過隨機Token——使用Brup找出隨機Token

背景： 這是某OA的一個頁面，主要功能是供用戶提交一些需求，頁面有表單和文件上傳接口，在對該頁面進行安全測試的時候，我希望對這些用戶輸入表單進行存儲型XSS的測試，然而由於頁面使用了隨機Token，致使用掃描器進行掃描時發現並不能批量寫入。於是用Burp進行手工測試。 使用Repeater模塊進行重放： 在對數據提交頁面進行重放時，發現不成功。猜測是服務器端對請求數據的某個變量進行了驗證。如圖。

>>阅读原文<<