零基础在实践中学习网络安全-皮卡丘靶场(第十五期-URL重定向模块)

本期内容和之前的CSRF,File inclusion有联系,复习后可以更好了解

介绍

不安全的url跳转

不安全的url跳转问题可能发生在一切执行了url地址跳转的地方。如果后端采用了前端传进来的(可能是用户传参,或者之前预埋在前端页面的url地址)参数作为了跳转的目的地,而又没有做判断的话就可能发生"跳错对象"的问题。url跳转比较直接的危害是:-->钓鱼,既攻击者使用漏洞方的域名(比如一个比较出名的公司域名往往会让用户放心的点击)做掩盖,而最终跳转的确实钓鱼网站这个漏洞比较简单,come on,来测一把!

个人评价:同CSRF一样,钓鱼网站是大头,在此重新说明,注意分寸

适用场景:注意分寸

实际反馈:注意分寸

原理

攻击者可能会利用一个漏洞,篡改服务器返回的页面地址(目标URL)。比如,正常情况下,服务器会将用户重定向到一个安全的登录页面,但攻击者通过篡改URL,让用户被重定向到一个恶意网站,从而实现攻击。

假设你在网上购物,下单后,商家会将商品通过快递公司送到你指定的地址。这个过程就像是一个正常的网页请求,你(用户)向商家(服务器)发起请求,希望得到一个商品(网页内容),而快递公司(网络传输)负责将商品送到你指定的地址(目标URL)。

正常流程

  1. 下单:你告诉商家你想要的商品,并且告诉商家你的收货地址(目标URL)。

  2. 发货:商家收到订单后,会将商品交给快递公司,并告诉快递公司你的收货地址。

  3. 送达:快递公司按照地址将商品送到你手中。

URL重定向漏洞(恶意篡改地址)

现在,假设有一个不怀好意的人(攻击者)在中间捣乱。他可能会篡改你告诉商家的收货地址,让商家把商品寄到他指定的地方,而不是你原本的地址。这就是URL重定向漏洞的原理。

攻击过程

  1. 篡改地址:攻击者在你下单的时候,偷偷修改了你的收货地址(目标URL),比如把地址从"你的家"改成"他的仓库"。

  2. 误导商家:商家并不知道地址被篡改了,依然按照攻击者提供的地址发货。

  3. 攻击者获利:攻击者收到商品后,可能会利用它来攻击你(比如获取你的个人信息,或者让你访问一个恶意网站)。

实践

实践的话和之前说过的File inclusion远程文件包含差不多,修改url即可

比如

复制代码
?url=http://www.baidu.com

url后面跟的内容可以自行修改

本期内容很简单,前提当然是需要好好复习,在此祝愿各位高考学子金榜题名

相关推荐
悠哉悠哉愿意34 分钟前
【电赛学习笔记】MaxiCAM 项目实践——与单片机的串口通信
笔记·python·单片机·嵌入式硬件·学习·视觉检测
快乐肚皮44 分钟前
ZooKeeper学习专栏(五):Java客户端开发(原生API)详解
学习·zookeeper·java-zookeeper
慕y2741 小时前
Java学习第七十二部分——Zookeeper
java·学习·java-zookeeper
★YUI★2 小时前
学习游戏制作记录(剑投掷技能)7.26
学习·游戏·unity·c#
蓝桉8022 小时前
opencv学习(图像金字塔)
人工智能·opencv·学习
rannn_1113 小时前
Java学习|黑马笔记|Day23】网络编程、反射、动态代理
java·笔记·后端·学习
go54631584653 小时前
中文语音识别与偏误检测系统开发
开发语言·人工智能·学习·生成对抗网络·数学建模·语音识别
好奇龙猫4 小时前
日语学习-日语知识点小记-构建基础-JLPT-N3阶段(9):ようなN
学习
牵牛老人4 小时前
OpenCV学习探秘之二 :数字图像的矩阵原理,OpenCV图像类与常用函数接口说明,及其常见操作核心技术详解
opencv·学习·矩阵
flashier5 小时前
ESP32学习笔记_Components(1)——使用LED Strip组件点亮LED灯带
学习·esp32·led·led灯带·esp32组件