DVWA之CSRF

本文详细解析了跨站请求伪造(CSRF)的工作原理,展示了攻击过程并介绍了防范措施。通过DVWA实例演示了从利用漏洞到实施攻击的步骤,包括获取token、利用短链接进行伪装等技巧。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

CSRF:
跨站请求伪造(cross site request forgery),
在用户不知情的情况下提交了请求。
也就是说攻击者盗用了用户身份,
以用户的名义发送了恶意请求。

攻击过程如下:
(b站视频截的一张图)
在这里插入图片描述
CSRF的危害:
在这里插入图片描述
如何防御CSRF:在这里插入图片描述在这里插入图片描述

DVWA-CSRF(low)

  1. 查看网页源码,发现请求方式是get请求,且没有token在这里插入图片描述
  2. 在页面中输入543,543修改密码在这里插入图片描述
  3. 此时在brute force处尝试用新密码登录,发现admin的密码已经更改为543在这里插入图片描述
  4. 再返回到csrf菜单,复制url在这里插入图片描述
  5. 把参数改成pass1234,由于直接用这个链接过于明显,在线转换成短链接在这里插入图片描述
    6.用户点击短链接后,密码自动改成pass1234在这里插入图片描述
### CSRF漏洞概述 跨站请求伪造(Cross-Site Request Forgery, CSRF)是一种攻击方式,它利用用户的登录凭证,在未经用户同意的情况下执行恶意操作。在DVWA(Damn Vulnerable Web Application)中,CSRF漏洞被用来展示如何通过诱导受害者访问特定链接来触发未经授权的操作。 #### DVWA中的CSRF漏洞示例 在低安全级别下,DVWA允许攻击者创建一个HTML表单或者JavaScript脚本,这些内容可以自动提交更改密码的请求给目标网站。例如,下面是一个简单的HTML页面,当加载此页面时会尝试修改受害者的密码: ```html <html> <body onload="document.forms[0].submit()"> <form action="http://<target>/dvwa/vulnerabilities/csrf/" method="POST"> <input type="hidden" name="password_new" value="hacked!" /> <input type="hidden" name="password_conf" value="hacked!" /> <input type="hidden" name="Change" value="Change" /> </form> </body> </html> ``` 上述代码会在页面加载时立即发送一个带有新密码设置的POST请求到服务器[^1]。 #### 防护措施 为了防止CSRF攻击的发生,开发者通常采用以下几种策略之一或多组合使用: - **同步令牌模式**: 这种方法涉及生成唯一的随机数作为每次交易的一部分,并将其存储于服务端以及嵌入客户端所见之网页之中。只有当这两个值匹配的时候才接受来自客户的任何敏感数据变更指令。 - **双重Cookie验证**: 此技术要求除了标准的身份认证外还需要额外的一层保护——即附加一个仅存在于HTTP-only cookies之外单独存在的token字段用于比较确认身份的真实性。 - **Referer Header Check**: 虽然不是最可靠的办法因为某些浏览器可能不会总是提供referer header信息,但是仍然可以通过检查HTTP referer headers 来判断当前请求是否来自于合法源地址从而阻止非法站点发起的跨域请求行为。 综上所述,有效的防御机制应该综合考虑多种因素并实施多层次的安全控制手段以最大限度减少遭受此类威胁的风险。 ```python import secrets def generate_csrf_token(): """Generate a secure random token.""" return secrets.token_hex(16) csrf_token = generate_csrf_token() print(f"Generated CSRF Token: {csrf_token}") ```
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值