#CSRF- 无检测防护 - 检测 & 生成 & 利用(那数据包怎么整 找相似源码自己搭建整)
检测:黑盒手工利用测试,白盒看代码检验(有无 token ,来源检验等)
生成: BurpSuite->Engagement tools->Generate CSRF Poc
利用:将文件防止自己的站点下,诱使受害者访问(或配合 XSS 触发访问)
#CSRF-Referer 同源 - 规则 & 上传 &XSS
https://blog.csdn.net/weixin_50464560/article/details/120581841
匹配对比要求点击进来的而不是直接访问
可以添加目标网站作为目录 然后·新建个html文件
逻辑判断隐患 就是数据包没有浏览器来源这行
严谨代码 PHP DEMO :
<?php
// 检测来源
function checkReferrer() {
expectedReferrer = "http://example.com"; // 期望的来源页面
if (!isset(_SERVER['HTTP_REFERER']) ||
_SERVER\['HTTP_REFERER'\] !== expectedReferrer) {
die(" 非法访问 ");
}
}
CSRF 请求伪造&Referer 同源&置空&配合 XSS&Token 值校验&复用删除
我最厉害。,。2025-04-23 12:13
相关推荐
zwjapple1 小时前
docker-compose一键部署全栈项目。springboot后端,react前端像风一样自由20204 小时前
HTML与JavaScript:构建动态交互式Web页面的基石aiprtem4 小时前
基于Flutter的web登录设计浪裡遊4 小时前
React Hooks全面解析:从基础到高级的实用指南why技术4 小时前
Stack Overflow,轰然倒下!GISer_Jing4 小时前
0704-0706上海,又聚上了止观止5 小时前
深入探索 pnpm:高效磁盘利用与灵活的包管理解决方案whale fall5 小时前
npm install安装的node_modules是什么烛阴5 小时前
简单入门Python装饰器袁煦丞6 小时前
数据库设计神器DrawDB:cpolar内网穿透实验室第595个成功挑战