40、WEB攻防——通用漏洞&CSRF&SSRF&代码审计&同源策略&加载函数

文章目录

CSRF

如何对CSRF进行测试?尝试添加管理员为例

抓取添加管理员的用户名和密码的数据包,形成html文件,并放到公网服务器上。

登录后台的状态下访问刚刚那个文件,CSRF攻击完成。

CSRF绕过: 针对来源检测 ,可以:(1)伪造referer,需要在html代码数据包文件中固定http-referer;(2)尝试在网站任何可上传地方,上传数据包文件,取得当前同域名访问地址。

SSRF

这个采集模块,服务器会根据你给的URL进行访问,说明存在SSRF。


按照之前的方法,找不到collection文件夹,这里是用到了框架。

审计思路

相关推荐
AIFQuant2 分钟前
贵金属投资 APP 开发:实时报价、图表、提醒与交易数据全链路
开发语言·前端·websocket·金融·web app
爱吃羊的老虎4 分钟前
【JAVA】python转java:Spring Boot 如何处理 Web 请求
java·前端·spring boot·http
shuoshuohaohao5 分钟前
《JavaScript》
开发语言·前端·javascript
步步为营DotNet9 分钟前
洞悉.NET 11:ASP.NET Core 10 在构建实时协作 Web 应用的技术实践
前端·asp.net·.net
Bigger11 分钟前
mini-cc 的技能系统:给 AI 装上“专业外挂”
前端·ai编程·claude
繁星星繁13 分钟前
LangChain 初探:模型调用、链式编排与运行机制
前端·chrome·langchain
z2005093014 分钟前
【linux学习】Linux 软硬链接深度解析:从 inode 到目录硬链接的那些坑
前端·chrome
competes21 分钟前
数据查询方式最左匹配原则
java·大数据·前端·人工智能·windows
光影少年31 分钟前
react中的Context 为什么会导致性能问题?
前端·javascript·react.js