CSRF实例

资讯 2024-06-07 阅读:32 评论:0

美化布局示例

欧易(OKX)最新版本

【遇到注册下载问题请加文章最下面的客服微信】永久享受返佣20%手续费！

APP下载全球官网大陆官网

币安(Binance)最新版本

币安交易所app【遇到注册下载问题请加文章最下面的客服微信】永久享受返佣20%手续费！

APP下载官网地址

火币HTX最新版本

火币老牌交易所【遇到注册下载问题请加文章最下面的客服微信】永久享受返佣20%手续费！

APP下载官网地址

全部全部展开

在网络应用安全方面,CSRF(跨系统伪造请求)不象XSS那样广为人知,但仍存在许多漏洞,例如,很难找到有CSRF的网站,例如,有数百个 justforests。首先,登录并不困难。首先,尝试访问URL:http://www.0x54.org/lake2/xs_post_forward.asp?lake2=http://passport.baitu.com/ucommittees&u_jum_urlsex=CSRF。

但是,有一个避免浏览器刷新的战略。第一个策略是使用“ 标签” 构建以下 HTML 代码 : `。另一种方法是使用 Flash, 它可以向任何 URL 提交数据。通过 Adobe Flash CS3 专业创建 Flash 文件( ActionScript 3. 0), 添加以下代码 :

　　actionscript

　　import flash.net.URLRequest;

　　import flash.system.Security;

　　var url=new URLRequest("http://www.0x54.org/lake2");

　　var lake=new URLVariables();

　　lake["a"]="lake2";

　　url.method="POST";

　　url.data=lake;

　　sendToURL(url);

　　stop();

将此代码导出为 SWF 文件并访问“ http://www. 0x54.org/lake2/flash/ test1. html ” 以查看效果。或者, 在不简化操作的情况下, 您可以使用 CSRFRedirtor 的想法来制作一个闪电程序, 以构建包含 URL 参数的 HTML 页面, 如 http:// www. 0x54.org/lake2/flash/flash_racking.swf, 其中载有编码的 URL 参数。

值得注意的是,闪电不仅发出请求,还收到返回的内容,如果返回的信息包含敏感信息,根据目标网站是否允许闪电访问跨域内容,可以阅读并发送到我们控制的网络服务器。

扩展信息

CSRF(现场请求伪造,也称为“单点击轨道”或“片面”,通常缩写为CSRF或XSRF)是对网站的恶意使用,虽然它听起来像跨站脚本(XSS),但触摸它与XSS非常不同,几乎与攻击它不同。XSS使用网站内受信任的用户,而CSRF则通过伪造受信任用户的请求来使用受信任的网站。与XSS的攻击相比,CSRF的攻击往往不那么普遍(因此预防攻击的资源很少),而且难以预防,而且被认为比XSS更危险。

美化布局示例