CSRFT 项目使用教程

CSRFT 项目使用教程

CSRFTA lightweight CSRF Toolkit for easy Proof of concept项目地址:https://gitcode.com/gh_mirrors/cs/CSRFT

1. 项目的目录结构及介绍

CSRFT 项目的目录结构如下：

CSRFT/
├── conf/
│   └── 配置文件
├── dicos/
│   └── 字典文件
├── exploits/
│   └── HTML恶意表单
├── lib/
│   └── 自定义库
├── public/
│   ├── jQuery.js
│   └── inject.js
├── server.js
├── utils/
│   └── csrft_utils.py
└── views/
    ├── index.ejs
    └── 其他模板文件

目录介绍：

• conf/：存放 JSON 格式的配置文件，用于描述攻击场景。
• dicos/：存储字典文件，用于字典攻击。
• exploits/：存放 HTML 恶意表单，用于 CSRF 攻击。
• lib/：包含自定义库，用于项目的特定功能。
• public/：包含公共资源文件，如 jQuery 和注入脚本。
• server.js：HTTP 服务器主程序。
• utils/：包含辅助工具，如 Python 工具 csrft_utils.py，用于自动化攻击。
• views/：包含首页 index.ejs 和其他模板文件。

2. 项目的启动文件介绍

server.js

server.js 是 CSRFT 项目的主启动文件，负责启动 HTTP 服务器并与受害者进行交互。该文件使用 Node.js 编写，具有高度的灵活性和可配置性。

启动步骤：

1. 克隆项目仓库：

   git clone https://github.com/PaulSec/CSRFT.git
   

2. 安装 Node.js 依赖：

   npm install
   

3. 运行服务器：

   node server.js
   

3. 项目的配置文件介绍

配置文件格式

CSRFT 的配置文件采用 JSON 格式，位于 conf/ 目录下。配置文件用于描述多个攻击场景，并根据需要进行组合。

示例配置文件

以下是一个基本的 JSON 配置文件示例：

{
  "audit": [
    {
      "name": "PoC done with Automatic Tool",
      "scenario": [
        {
          "attack": [
            {
              "method": "GET",
              "type_attack": "special_value",
              "url": "http://www.vulnerable.com/changePassword.php?newPassword=csrfAttacks"
            }
          ]
        }
      ]
    }
  ]
}

配置文件字段说明：

• audit：描述一个或多个攻击场景。
• name：攻击场景的名称。
• scenario：具体的攻击步骤。
• attack：攻击的具体配置。
  • method：请求方法，如 GET 或 POST。
  • type_attack：攻击类型，如 special_value。
  • url：目标 URL。

通过修改配置文件，可以灵活地定义和调整攻击策略，实现不同的攻击链。

CSRFTA lightweight CSRF Toolkit for easy Proof of concept项目地址:https://gitcode.com/gh_mirrors/cs/CSRFT