通过超链接和伪造数据包请求更改论坛用户密码

t_i_m_e

于 2018-03-21 00:30:07 发布

阅读量400

点赞数

CC 4.0 BY-SA版权

文章标签： xiaobai

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文链接：https://blog.youkuaiyun.com/t_i_m_e/article/details/79633948

本文介绍了一种利用JavaScript和CSRF（跨站请求伪造）技术进行密码篡改的方法。通过分析目标站点的修改密码请求，使用F12开发者工具获取cookie中的密码信息并更改密码。该方法依赖于用户点击恶意链接，适用于未开启同源策略且未过滤敏感字符的网站。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Javascript CSRF

通过学习过去的漏洞来打开自己挖掘漏洞的思路

谷歌F12可以看到Javascript中cookie存放在document中

通过语法

获取cookie中的指定值

更改用户密码思路如下：

通过F12开发者工具可以看出目标站的修改密码请求为POST请求数据包，下面为伪造POST请求的脚本

编辑超链接脚本，并通过评论上传

192.168.98.195:8081站点即为挂载js脚本的网站

用户点击超链接后密码自动更改为000000。

总结：1.这种平台只能靠搭建，应该不存在这种脑抽的程序员不会将评论区的敏感字符过滤

2.网民警惕意识增强，如何引诱人点击超链接是需要琢磨的

3.开启同源策略的网站，此方法无效（几乎所有网站都开了吧。。。）

4.纯属练习，请各位轻喷

评论

被折叠的条评论为什么被折叠?

到【灌水乐园】发言

查看更多评论

添加红包

成就一亿技术人!

hope_wisdom

发出的红包

实付元

使用余额支付

点击重新获取

扫码支付

钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。