40、WEB攻防——通用漏洞&CSRF&SSRF&代码审计&同源策略&加载函数

文章目录

CSRF

如何对CSRF进行测试?尝试添加管理员为例

抓取添加管理员的用户名和密码的数据包,形成html文件,并放到公网服务器上。

登录后台的状态下访问刚刚那个文件,CSRF攻击完成。

CSRF绕过: 针对来源检测 ,可以:(1)伪造referer,需要在html代码数据包文件中固定http-referer;(2)尝试在网站任何可上传地方,上传数据包文件,取得当前同域名访问地址。

SSRF

这个采集模块,服务器会根据你给的URL进行访问,说明存在SSRF。


按照之前的方法,找不到collection文件夹,这里是用到了框架。

审计思路

相关推荐
Moment5 分钟前
OpenClaw 从能聊到能干差的是这 50 个 Skills 😍😍😍
前端·后端·开源
小霖家的混江龙14 分钟前
从 0 到 1 实现一个 useState
前端·javascript·react.js
晓得迷路了18 分钟前
栗子前端技术周刊第 118 期 - Oxfmt Beta、Angular GitHub stars、React 基金会...
前端·javascript·react.js
亿元程序员33 分钟前
小伙伴说我的拼图游戏用Mask不能合批...
前端
恋猫de小郭34 分钟前
AI 正在造就你的「认知卸载」,但是时代如此
前端·人工智能·ai编程
摸鱼的春哥1 小时前
Agent教程14:记忆才是Agent开发的核心
前端·javascript·后端
明月_清风1 小时前
Clipboard API 深度实战:如何同时存入“纯文本”和“富文本”两种格式?
前端·javascript
明月_清风1 小时前
权限陷阱:为什么你的“点击复制”在某些浏览器或 iframe 里会失效?
前端·javascript
掘金安东尼11 小时前
让 JavaScript 更容易「善后」的新能力
前端·javascript·面试
掘金安东尼11 小时前
用 HTMX 为 React Data Grid 加速实时更新
前端·javascript·面试