CSRF
1. CSRF简介与危害
- 定义与特点
- CSRF(Cross-site request forgery)跨站请求伪造
- 需要用户点击恶意链接,也称为one-click attack
Pikachu
- 安装 pikachu 靶场
- 登录 www.pikaqiu.com/vul/csrf/cs…
- 制作攻击页面并放到恶意服务器上 pbootcms.test.com/hacker.html
<script src='http://www.pikaqiu.com/vul/csrf/csrfget/csrf_get_edit.php?sex=gg&phonenum=1111&add=11111&email=111111&submit=submit'></script>
- 发送给被攻击者执行
- 被攻击者刷新页面展示数据，数据被更新了
2. CSRF攻击页面生成
- bp生成html
- owasp csrft 生成html
3.攻击前提条件
- 存在漏洞的服务
- 用户已登录
- 对协议包了解
- 浏览器支持
4.metinfo cms
-
创建靶场
-
开启owasp csrft 记录数据并生成页面
-
用户页面添加数据到owasp中
-
将csrf页面发给被攻击者
5. CSRF防御建议
- 同源策略
- 关键业务验证,短信、邮件、人脸识别
