40、WEB攻防——通用漏洞&CSRF&SSRF&代码审计&同源策略&加载函数

文章目录

CSRF

如何对CSRF进行测试?尝试添加管理员为例

抓取添加管理员的用户名和密码的数据包,形成html文件,并放到公网服务器上。

登录后台的状态下访问刚刚那个文件,CSRF攻击完成。

CSRF绕过: 针对来源检测 ,可以:(1)伪造referer,需要在html代码数据包文件中固定http-referer;(2)尝试在网站任何可上传地方,上传数据包文件,取得当前同域名访问地址。

SSRF

这个采集模块,服务器会根据你给的URL进行访问,说明存在SSRF。


按照之前的方法,找不到collection文件夹,这里是用到了框架。

审计思路

相关推荐
阿奇__15 分钟前
element 跨页选中,回显el-table选中数据
前端·vue.js·elementui
谢尔登16 分钟前
【React】SWR 和 React Query(TanStack Query)
前端·react.js·前端框架
断竿散人16 分钟前
专题一、HTML5基础教程-Viewport属性深入理解:移动端网页的魔法钥匙
前端
3Katrina17 分钟前
理解Promise:让异步编程更优雅
前端·javascript
星之金币18 分钟前
关于我用Cursor优化了一篇文章:30 分钟学会定制属于你的编程语言
前端·javascript
天外来物20 分钟前
实战分享:用CI/CD实现持续部署
前端·nginx·docker
moxiaoran575321 分钟前
Spring Cloud Gateway 动态路由实现方案
运维·服务器·前端
市民中心的蟋蟀21 分钟前
第十一章 这三个全局状态管理库之间的共性与差异 【上】
前端·javascript·react.js
vvilkim35 分钟前
Flutter 常用组件详解:Text、Button、Image、ListView 和 GridView
前端·flutter
vvilkim41 分钟前
Flutter 命名路由与参数传递完全指南
前端·flutter