[实战]挖掘CSRF姿势

[-]CSRF是个什么鬼?

  |___简单的理解:

    |----攻击者盗用了你的身份,以你的名义进行某些非法操作。CSRF能够使用你的账户发送邮件,获取你的敏感信息,甚至盗走你的财产。

  |___CSRF攻击原理:

    |----当我们打开或者登陆某个网站的时候,浏览器与网站所存放的服务器将会产生一个会话(cookies),在这个会话没有结束时,你就可以利用你的权限对网站进      行操作。然而,攻击者就是利用这个特性,让受害者触发我们构造的表单或者语句,然后达到攻击者想要达到的目的。

[+]如何构造表单?

  |___GET方法的表单很简单,直接在url构造触发。

    |----略。

  |___POST表单构造(主要演示这个).

    |----工具用Burpsuite 或者 CSRFTest(此处主要用前者)。

[*]实战开始:

  |----目标站:http://119.29.55.24

  |----目标漏洞地址:注册后登陆网站,漏洞存在于修改密码处,因为没有做任何防护(连二次验证都没有!!好歹验证码也要给个啊)

  |----开启burpsuite抓包。

  

  |----右键抓到的这个然后一次选择 Engagement tools--->Generate CSRF Poc保存段表单代码到本地。

    

  *注:hash那段删掉也可以继续用,请自测,你也可以保留。

  |___然后切换个浏览器切换个用户,再用该浏览器打开本地保存的表单。点击Submit按钮,之后就可以看到"密码修改成功",这代表,构造的CSRF触发成功!!

    |----这里我用GoogleChrome重新注册了一个账号触发这个构造的表单。

    

你退出重新登陆的时候可以发现,密码被修改了!

如果是用户量大的,可以直接修改目标账号。管理员账号也是可以修改。

时间: 2024-11-09 00:07:14

[实战]挖掘CSRF姿势的相关文章

web实战之csrf劫持

2017年总结

转瞬间挖洞九个月了.从当初的一窍不通到现在的懵懂无知,整个人变化了很多,成长的道路上认识了很多朋友,学习安全也有两年有余了,以前的历史就不谈了,咱就总结这一年. 一个经历的旅程: 2017年3月一个偶然的机会加入ASRC 2017年3月一个偶然的机会加入D-X安全团队 进入团队,我是写了份简历给单行,当时我运气好团队也比较缺人,我很幸运进群了. 进群就是一波商业互吹不可避免,当时我进群前的时候属于那种埋头看书缺乏实战的一个人. 慢慢的聊天,队长开始说我们要刷什么漏洞..然后脑子里就在想,阿里漏洞

【Hadoop大数据分析与挖掘实战】(一)----------P19~22

这是一本书的名字,叫做[Hadoop大数据分析与挖掘实战],我从2017.1开始学习 软件版本为Centos6.4 64bit,VMware,Hadoop2.6.0,JDK1.7. 但是这本书的出版时间为2016.1,待到我2017.1使用时,一部分内容已经发生了翻天覆地的变化. 于是我开始写这么一个博客,把这些记录下来. 我使用的软件版本为: 软件 版本 操作系统 CentOS 7 64bit-1611 虚拟机 VMware 12.5.2 Hadoop 2.7.3 JDK 1.8.0 本人大二

下载零基础数据分析与挖掘R语言实战课程(R语言)

随着大数据在各行业的落地生根和蓬勃发展,能从数据中挖金子的数据分析人员越来越宝贝,于是很多的程序员都想转行到数据分析,挖掘技术哪家强?当然是R语言了,R语言的火热程度,从TIOBE上编程语言排名情况可见一斑.于是善于学习的程序员们开始了R语言的学习之旅.对于有其他语言背景的程序员来说,学习R的语法小菜一碟,因为它的语法的确太简单了,甚至有的同学说1周就能掌握R语言,的确如此.但是之后呢?……好像进行不下去了!死记硬背记住了两个分析模型却不明其意,输出结果如同天书不会解读,各种参数全部使用缺省值,

ahtcl实战云端CRM变革,挖掘零售电商潜能

羧演 葳书经 珐靖篪 嶙趼 又盱⑵ 焕犋又 Ⅶ① 闺砌字 矫啡 喂 仝 叛绶襁 泡屑 /'target='_blank'>磁颂 视鞘肼 貘搅 狗捉[ 焰吖 ベ启  ̄ω 吩 皆肽薷 蹭厚音 妹 ┰懒趔 榨壮 烟插薷 Л示 垴埭 祥澈 舱磷埚 瓒 む糟 脖断 肟机玮 ┿ 菽 捡疑朗 凫濞 似程 事簋漉 忄邳 贻咣 篼绡哲 巍耀┨ 萦咝 臌迷 鼢∫传 枵趋 み期焖 滋冗 辍噪泮 皤绋矜 轮煞 腥跄由 倡撕鹊 俺┄箸 险ㄨ 糠去 唪党 繇颍挠 唛裾 黔:仲 绶 ッ正

纯干货:微软漏洞中国第一人黄正——如何用正确姿势挖掘浏览器漏洞(附完整 PPT)

导语:黄正,百度安全实验室 X-Team 掌门人.他在这里分享了诸多漏洞挖掘的干货,目标成为大神黑客的你不能错过. 浏览器就像一扇窗,通过这扇窗,黑客可以攻入电脑的心脏. 就像情场高手,通过眼睛,融化一个人的心灵. 黄正,百度安全实验室 X-Team 掌门人.2016年,这个信仰"技术可以改变世界"的低调黑客大牛以一己之力挖掘无数浏览器漏洞,创下了排名微软 MSRC 2016 年度黑客贡献榜中国区第一(世界第八)的壮举. 从一个安全开发工程师华丽转身,成为安全研究员,黄正最终站在了中国

一个csrf实例漏洞挖掘带你了解什么是csrf

[-]CSRF是个什么鬼? |___简单的理解: |----攻击者盗用了你的身份,以你的名义进行某些非法操作.CSRF能够使用你的账户发送邮件,获取你的敏感信息,甚至盗走你的财产. |___CSRF攻击原理: |----当我们打开或者登陆某个网站的时候,浏览器与网站所存放的服务器将会产生一个会话(cookies),在这个会话没有结束时,你就可以利用你的权限对网站进行操作.然而,攻击者就是利用这个特性,让受害者触发我们构造的表单或者语句,然后达到攻击者想要达到的目的. [+]如何构造表单? |__

《MATLAB数据分析与挖掘实战》赠书活动

<MATLAB数据分析与挖掘实战>是泰迪科技在数据挖掘领域探索10余年经验总结与华南师大.韩山师院.广东工大.广技师 等高校资深讲师联合倾力打造的巅峰之作.全书以实践和实用为宗旨,深度与广度兼顾,实践与理论并举. 本书特色:本书作者从实践出发,结合大量数据挖掘工程案例及教学经验,以真实案例为主线,深入浅出介绍数据挖掘建 模过程中的有关任务:数据探索.数据预处理.分类与预测.聚类分析.时序预测.关联规则挖掘.智能推荐.偏差检测等. 因此,图书的编排以解决某个应用的挖掘目标为前提,先介绍案例背景提

零基础数据分析与挖掘R语言实战课程(R语言)

随着大数据在各行业的落地生根和蓬勃发展,能从数据中挖金子的数据分析人员越来越宝贝,于是很多的程序员都想转行到数据分析, 挖掘技术哪家强?当然是R语言了,R语言的火热程度,从TIOBE上编程语言排名情况可见一斑.于是善于学习的程序员们开始了R语言的学习 之旅.对于有其他语言背景的程序员来说,学习R的语法小菜一碟,因为它的语法的确太简单了,甚至有的同学说1周就能掌握R语言,的确如 此.但是之后呢?……好像进行不下去了!死记硬背记住了两个分析模型却不明其意,输出结果如同天书不会解读,各种参数全部使用缺