使用burp生成CSRF的POC验证CSRF

最新推荐文章于 2024-09-09 11:56:27 发布
原创 最新推荐文章于 2024-09-09 11:56:27 发布 · 3.2k 阅读 · 8 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文详细指导如何通过Burp Suite在PHPStudy环境中利用CSRFPOC自动化生成payload，演示了从设置代理、修改HTML代码到实现自动化虚拟请求的全过程，并讨论了如何提高攻击的隐蔽性。

实验环境：phpstudy, DVWA，burpsuite
演示过程：
<1>使用burp代理提交内容
（代理推荐使用FoxyProxy小插件）
在这里插入图片描述

在这里插入图片描述

<2>burp中寻找CSRF POC自动化生成选项
在这里插入图片描述

<3>可以看到如下为自动化生成POC
在这里插入图片描述

自动化编写有时候有些是不能用的，最好是自己改一些
<4>将HTML代码复制到新建的csrf.html中
在这里插入图片描述

<5>将其打开
在这里插入图片描述

<6>点击请求

最低0.47元/天 解锁文章
如何通过Burp Suite专业版构建CSRF PoC
所有成功的背后，都是痛苦的坚持，所有的痛苦，都是傻瓜般的不放弃!
01-15 2027
Burp Suite是一款强大的渗透测试利器，可以利用它来高效的执行渗透攻击，接下来介绍如何通过Burp Suite Pro来构建CSRF PoC。pushState'''''/'
burpsuite之快速创建测试CSRF的Poc页面
moonquake
03-17 2393
注意： 本篇文章使用burpsuite2021专业版，其它版本也基本适用。 一、打开目标表单页面，将代理改为burpsuite，开始抓包。 二、抓取到目标url后，选中url并右击，选择Engagement tools下的Generate CSRF Poc 三、在参数区域修改表单的值，使用自己的payload填写， 修改参数后，不要忘了点击apply(应用修改，使修改生效) 然后点击Regenerate，生成Poc表单 四、获取测试链接 点击Test in browser后，弹出链
★暴力破解漏洞（Burte Force）
weixin_51339377的博客
04-14 1777
暴力破解漏洞（Burte Force） 借助足够的字典+Burp等工具repeat操作即可 什么是暴力破解：连续性尝试+字典+自动化 字典 1.弱口令字典 2.Github搜集 3.只用指定字符生成(社工) 4.社工库 防范： 1.要求用户设置复杂的密码 2.每次认证使用安全的验证码 3.对登录的行为做出判断和限制限制你的IP 4.在必要的情况下使用双因素认证； 技巧一： 根据注册提示信息优化，在目标站点注册，搞清楚账号密码限制，比如大小写、密码长度限制。 技巧二
burp靶场--CSRF
qq_33168924的博客
01-25 3709
应用程序不校验csrf的有效性，只是对比body中与cookie中csrf的值是否相同，相同就接受请求，由于搜索功能没有csrf保护，并且存在cookie注入，所以可以使用搜索中cookie注入修改cookie的csrf与bodycsrf一致造成csrf攻击。步骤1：登陆两个账户，将账户A的csrfkey与csrf值替换给第二个账户B中使用，用来请求修改邮箱地址，修改成功，但是由于cookie被修改会导致账户退出，并且发现搜索功能存在cookie注入【注入的数据可以修改客户端cookie设置】，所以结合。
Burp验证CSRF
per_se_veran_ce的博客
10-17 1652
1、使用AWVS扫描漏洞，找到可能存在CSRF的页面 2、找到可能存在CSRF的页面，抓包 右击生成CSRF POC 清除refer和cookie的影响 3、修改一些参数 4、点击Test in browser，弹出一个框，下面的just copy 打对勾 复制生成的url，在浏览器中访问 增加了一条新纪录，存在CSRF 信息被修改，或成功新增表单，则说明可以成功伪造...
如何使用lazyCSRF在Burp Suite上生成强大的CSRF PoC
HBohan的博客
12-07 1306
lazyCSRF是一款功能强大的Burp Suite插件，该工具可以帮助广大研究人员生成功能强大的CSRF（跨站请求伪造） PoC。Burp Suite是一个拦截HTTP代理，是执行Web应用程序安全测试的强大工具。引入lazyCSRF之后，Burp Suite就可以直接生成CSRF PoC了。在此之前，我比较喜欢使用的是“Generate CSRF PoC”，但这个插件无法自动判断请求的内容，而且它甚至还会使用“form”来生成无法用“form”表示的 PoC，例如使用JSON作为参数或PUT请求的情况。
使用BurpSuite生成POC验证CSRF漏洞的完整过程
本文标题“BurpSuite验证CSRF漏洞[项目源码]”明确指出，该项目旨在通过使用专业渗透测试工具BurpSuite来生成并验证CSRF攻击的Proof of Concept（PoC），进而确认目标系统是否存在此类安全缺陷。结合描述内容，我们...
burpsuite CSRF Poc generater
12-26
使用Burp Suite的CSRF PoC Generator模块，您可以按照以下步骤生成CSRF攻击的PoC（Proof of Concept）代码： 1. 打开Burp Suite并导入目标应用程序的配置。 2. 在Burp Suite的左侧导航栏中，选择"Proxy"选项卡，...
burp Suite（三）之生成CSRF PoC
crystal_shrimps的博客
08-08 1158
CSRF 生成 CSRF PoC 示例 上面改参数，下面regenerate更新，然后test in browser看效果 option可以选择生成poc的表单形式，应对不同应用情况
burpsuite之CSRF测试
无敌轻车的博客
05-13 1141
本测试以burpsuite与火狐浏览器为例 一、设置代理 这个记得先置为off，因为on的意思是 开启拦截，所以先关闭拦截才能成功提交表单。 这个记得先置为off，因为on的意思是 开启拦截，所以先关闭拦截才能成功提交表单。 二、抓包 ...
burpsuite生成POC验证CSRF过程及原理
热门推荐
qq_41123867的博客
02-19 1万+
一.CSRF漏洞成因： 浏览器访问web服务器A，登录状态下，再用同一个浏览器访问了恶意服务器B，服务器B返回给浏览器的页面中含有要求访问服务器A的恶意代码，用户不知情的情况下点击后，导致服务器A接收到来自服务器B的通过浏览器发起的恶意请求 根据上图可知，要验证CSRF，需要在访问网站A后获得cookie后，再访问一个会返回恶意代码的网站B，返回的恶意代码必须能导致访问网站A ，如果能通过返回的...
【burpsuite安全练兵场-客户端12】跨站点请求伪造CSRF-12个实验（全）
baimao__Ch的博客
06-19 1740
一、跨站点请求伪造（CSRF）1、简述：2、影响：3、原理：4、构造CSRF攻击实验1：无防御的CSRF漏洞5、利用CSRF6、针对CSRF的常见防御措施二、绕过CSRF令牌验证1、CSRF令牌2、CSRF令牌的验证取决于请求方法实验2：令牌验证取决于请求方法的CSRF3、CSRF令牌的验证取决于令牌是否存在实验3：CSRF，其中令牌验证取决于令牌是否存在4、CSRF令牌未绑定到用户会话实验4：令牌未绑定到用户会话的CSRF5、CSRF令牌绑定到非会话Cookie。
[工具] BurpSuite--快速生成CSRF POC
weixin_30273501的博客
09-04 1125
我们使用工具分析出存在csrf漏洞时，可以快速生成这个请求的poc，下面我们来看看怎么快速生成 0x00 上图是通过proxy，点击action，选择上图的选项即可生成这个请求的CSRF Poc了 当然不只是proxy有这个选项 target、Repeater等，只要展示请求信息的都有这个选项，下面列些例子 target Repeater BurpSuite很强大...
【BurpSuite工具系】使用BurpSuite一次完整的测试CSRF漏洞
run_boy_2022的博客
06-14 1498
在搜索选项 network.proxy.allow_hijacking_localhost jiang 将false修改为true，双击打开我们的burpsuite工具，将这里的监听端口改为8008。火狐浏览器地址栏添加 about:config。这样本地请求就可以监听到了。下载火狐浏览器设置网络代理。打开百度，浏览器提示这个。双击该选项就会为true。
2、使用BurpSuite进行CSRF漏洞测试
D516701881的博客
12-18 7018
1.环境准备 1.1.PC端设置BurpSuite设置代理 打开BurpSuite>proxy>options，开启本地代理 导出CA证书，打开BurpSuite>proxy>options，点击Import/export CA certificate，导出证书到本地。 安装导出的证书到本地计算机，安装方法不再详述。 1.2.靶机环境 DVWA是著名的OWASP开放出来的一个在线web安全教、学平台。提供了：暴力破解、命令执行、CSRF、文件包含、SQL注入、XSS学习环境，并且分
burpsuite：CSRF测试简单说明；
白骨梦儿
03-18 4850
【技术有限，水平一般；刚刚学习，多提意见！】 CSRF：跨站请求伪造，也被称为：one click attack/session riding，缩写为：CSRF/XSRF。一般来说，CSRF是除XSS外最常见一种漏洞； CSRF攻击说明：攻击者（攻击者）利用受害者（受害者）尚未失效的身份认证信息（cookie，session等），以某种方式诱骗受害者点击攻击者精心制作的恶意链接或者访问包含恶意...
【Burpsuite练兵场】CSRF
最新发布
qq_33171856的博客
09-09 671
先登录实验室提供的账户，用bp抓点击修改邮箱地址的包，然后发到重放器，通过更改csrf令牌参数发现，请求被拒绝。先登录实验室提供的账户，用bp抓点击修改邮箱地址的包，然后发到重放器，删掉csrf参数，发现可以成功发送并跳转。发现不需要验证csrf令牌了，剩下的步骤和第一关一样，生成POC并发给受害者,即可完成实验。然后和上面的步骤一样生成POC发给受害者，即可完成实验。通过右键选择改变请求方式，改成GET请求，然后利用BP抓更新邮箱地址的提交按钮。保存，并交给受害者，即可完成实验。通过实验给的账户去登录。
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值