CSRF漏洞解析

CSRF漏洞概述

• CSRF漏洞测试流程
• CSRF（get/post）实验演示和解析
• Anti CSRF token
• 常见CSRF防范措施

 

 1.csrf漏洞的概述

csrf的攻击场景是攻击者会伪造一个请求（一般是链接）然后欺骗用户点击，用户一但点击这个请求攻击就完成了，，通过用户的来请求（一次性攻击）

场景1

假如攻击者想改小明的网站信息但是没有小明的账号和密码，攻击者就会在网站注册账号同过自己的修改信息的url发给小明，当小明在线上当点击链接就会用小明的账户进行更改

判断漏洞csrf

csrf触发的条件

1.没有进行信息修改的请求防csrf的的处理 ，导致被伪造

2.要在用户登录的情况下，点了攻击者的链接

注意：上面的条件没有全部满足是不会被csrf攻击的

xss和csrf的区别

1.xss是直接盗取用户的权限，然后实施破坏 ，而csrf是以用户的权限进行攻击

没做任何防护，也没有token

 

把里面的值改掉发给用户进行当用户点击就会改掉用户信息

 https://192.168.145.10/pikachu/vul/csrf/csrfget/csrf_get_edit.php?sex=DO&phonenum=15025645680&add=%E4%BD%A0%E5%A5%BD%E5%B8%85&email=lucy%40pikachu.com&submit=submit

csrf这种也是get请求

token防止csrf漏洞

 token的原理（随机数）

是用户去修改信息时在修改界面后台会刷一个token发个前端，直接后台也保留一个，当攻击者去仿用户的get请求时，后台就会给攻击者的发个新的token，，因为是用户登录的，使用会使用这个token和用户的token对比不对就会不成功。

学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题（有需要的话可以在评论区留言哦~）。

同时每个成长路线对应的板块都有配套的视频提供：