第二輪學習筆記：CSRF跨站請求僞造漏洞

早上開心的事就是，睡醒的時候，看到你昨天晚上回個人，我來不及看到的內容。。。。

----  網易雲熱評

 

csrf是藉助用戶的權限完成***，僞造一個***的連接，讓用戶在登陸狀態下點擊此連接，從而達到***的目的。xss直接盜取了用戶的權限，利用獲取的cookie登陸後臺，在進行進一步操做。

 

1、漏洞可能存在的地方

一、站點的增刪改查處；

二、cookie的有效期較長的

 

2、漏洞利用

一、 http://192.168.1.129/dvwa/vulnerabilities/csrf/，該頁面存在漏洞，輸入原始密碼，及要修改的密碼

二、打開burpsuite，抓包，將找到修改密碼的包發送到重發器

三、右擊，選擇相關工具--》csrf poc生成

四、點擊瀏覽器測試，複製生成的網址並在瀏覽器打開

五、退出DVWA，從新登陸，發現密碼已經修改成123456，測試成功

六、點擊上面複製HTML，而後新建一個html文件，把內容粘貼進去並從新設定密碼爲password，而後用瀏覽器打開該文件，點擊按鈕

 

七、直接跳轉到修改密碼的頁面，登出驗證，發現密碼又被修改回來了。

 

禁止非法，後果自負

歡迎關注公衆號：web安全工具庫