pikachu-csrf

pikachu

什么是csrf：
(Cross Site Request Forgery, 跨站域请求伪造)是一种网络的攻击方式，它在 2007 年曾被列为互联网 20 大安全隐患之一,也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
浅谈CSRF - 简书 (jianshu.com)

csrf(get)

登录账号后可以修改个人信息：

在了解修改个人信息是input后：

burp拦截，并且generate CSRF Poc：

上方的HTML修改为下方

点击Test in browser，生成url：

copy，此链接就相当于钓鱼网站，若是有人在登录后的网站上停留，又点击了该url网址的按钮：

那么该用户的个人信息就会被修改：

csrf(post)

因为是post请求，所以无法直接将生成的url给人

依然是Generate CSRF PoC，并且照样修改HTML的到，post请求一定要：

将该文件保存，获得其url的本地地址（csrftest.html是上述代码的地址）：http://localhost/pikachu-master/vul/csrf/csrfpost/csrftest.html，该地址就是钓鱼网站，同样要求点击该网站的用户同时登录了网址，点击后就会被修改相应信息；

网站的用户同时登录了网址，点击后就会被修改相应信息；