40、WEB攻防——通用漏洞&CSRF&SSRF&代码审计&同源策略&加载函数

PT_silver2024-02-01 8:26

文章目录

CSRF

如何对CSRF进行测试？尝试添加管理员为例

抓取添加管理员的用户名和密码的数据包，形成html文件，并放到公网服务器上。

登录后台的状态下访问刚刚那个文件，CSRF攻击完成。

CSRF绕过： 针对来源检测 ，可以：（1）伪造referer，需要在html代码数据包文件中固定http-referer；（2）尝试在网站任何可上传地方，上传数据包文件，取得当前同域名访问地址。

SSRF

这个采集模块，服务器会根据你给的URL进行访问，说明存在SSRF。


按照之前的方法，找不到collection文件夹，这里是用到了框架。

审计思路

相关推荐
云上工程笔记1 小时前
AstraFlow + React/Vite：如何用自然语言开发并部署一个 AI 咖啡网站原型
前端·人工智能·react.js
Q一件事1 小时前
ArcGIS中TypeError: can‘t multiply sequence by non-int of type ‘str‘错误
前端·javascript·arcgis
美狐美颜SDK开放平台2 小时前
从视频处理到实时渲染：直播APP中视频美颜SDK的关键技术解析
前端·人工智能·架构·实时互动·音视频·视频美颜sdk
yume_sibai2 小时前
ES6 核心知识点完全总结（变量 + 箭头函数 + 解构 + Promise + 模块化）
前端·ecmascript·es6
Moment2 小时前
为什么市面上的 coding agent 大多数都基于Nodejs？
前端·后端·面试
吃瓜的猹2 小时前
Gemini 3.8 Flash 是真的站起来了，一起来看看我到底做了什么吧~
前端
光影少年2 小时前
React18 对RN 的影响
android·前端·react.js·ios·前端框架
tryCbest2 小时前
Vue Router学习及使用
前端·vue.js
杉氧2 小时前
丝滑的奥秘：Reanimated 3 动画引擎与手势处理（Gesture Handler）
android·前端·react native
用户970161501683 小时前
浏览器切到后台后，AI 给我的代码就失效了：我拿 3 个模型测了 6 个定时器坑
前端·代码规范
热门推荐
01如何新建文件夹？ 电脑新建文件夹的4种方法02国内可直接用、免费额度/永久免费的大模型API清单（含 SiliconFlow、火山、阿里、智谱、百度、Kimi、DeepSeek、DMXAPI 等）03GitHub 镜像站点04历年考研数学一、数学二、数学三真题试卷及答案PDF052026 国产 AI 大模型横评：DeepSeek、通义千问、Kimi、文心一言、星火、豆包谁更能打？06蜘蛛磁力 搜索引擎大全，如何使用蜘蛛磁力查找磁力链接07微信历史版本含下载地址（ Windows PC | 安卓 | MAC ）及设置微信不更新08ZCode 周末送额度活动开启：3 亿 Token 免费领取09Agnes AI 免费 API 接入指南：文本、生图、生视频，一套接口全免费10AI 编程 IDE 全景解析 2026：Agent 全面接管开发链路