墨者学院——网络安全——来源页伪造

最新推荐文章于 2025-11-26 18:56:35 发布
原创 最新推荐文章于 2025-11-26 18:56:35 发布 · 248 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#web安全 #安全

本文介绍了如何在遇到限制只能从谷歌浏览器访问的靶场场景中，通过抓包分析并修改Referer头来解决访问问题，最终获取密钥的过程。

 

1、进入靶场练习，当点击图中按钮时出现：当前页面只允许从谷歌浏览器访问

2、对其进行抓包，关注Referer一行，Referer一行可以用来跟踪web请求是从什么网站来的

3、题目要求从谷歌浏览器访问，我们只需把Referer后面改为谷歌浏览器的地址即可

4、之后我们便成功解决，获得密钥

wsmwc
关注
墨者学院-----来源页请求伪造个人心得
qq_52973985的博客
03-06 269
墨者学院刷题心得----来源页面伪造
墨者学院--来源页伪造
weixin_44382289的博客
09-04 347
首先我们先了解一下http头的referer； Referer 是 HTTP 请求header 的一部分，当浏览器（或者模拟浏览器行为）向web 服务器发送请求的时候,头信息里有包含 Referer 。比如我在www.google.com 里有一个www.baidu.com 链接，那么点击这个www.baidu.com ，它的header 信息里就有：Referer:http://www.goo...
墨者学院-来源页伪造
JimWu的博客
09-05 536
来源页伪造 难易程度:★★ 题目类型:网络安全 使用工具:FireFox浏览器、burpsuite 1.打开靶场，点击链接，提示只允许从google.com访问。 2.打开burpsuite，再点击链接，截包，在referer处修改的index.php修改为google.com。 forward一下。 3.成功获取key。 ...
墨者学院——来源页伪造
Lollipop_zhi的博客
01-13 3356
启动靶场，看到提示信息，说明我们要间接访问 众所周知，数据包里有一个referer字段，表明产生请求的网页 URL 。这个属性可以用来跟踪 Web 请求是从什么网站来的。所以，我们可以尝试抓包来修改数据包的该属性 启动burpsuite，开始抓包 此时，referer没有体现出Google，它是直接访问的 直接把referer改成 http://google.com，然后发送数据包（forward），出现key，成功 这题也不难，只要查一查referer就OK ...
（墨者学院）来源页伪造（入门级）
weixin_52162058的博客
03-31 584
（墨者学院）来源页伪造（入门级） 使用工具为：Burp Suite 这个靶场想让我们了解数据包的结构 Referer:表明产生请求的网页URL，修改你原始访问的URL端口 然而这个靶场让你用google.com这个访问页 去访问 我们就要去抓取数据包 抓到数据包过后我们发现，这个的意思是你直接访问了 http://219.153.49.228:44971/ 这个地址，为什么是这个地址呢？因为这个靶场只给你开了这个访问页面，所以你只能在这里访问，当你访问的时候他指向的ip地址就是上面那个IP地址，这个靶
墨者学院——浏览器信息伪造
Lollipop_zhi的博客
01-13 2873
启动靶场 注意提示信息。 众所周知，数据包里有个user-agent字段，是客户浏览器名称，所以根据提示，我们需要修改数据包的相应信息 启动burpsuite，事先要确定浏览器和burpsuite的端口是否一致 点击链接，开始抓包 开始修改，根据靶场提示，我们可以查一下NetType。根据这篇文章提示，把user agent字段修改为Mozilla/5.0 (iPhone; CPU iPhone OS 8_0 like Mac OS X) AppleWebKit/600.1.4 (K..
墨者学院——投票系统程序设计缺陷分析
Lollipop_zhi的博客
01-13 2463
启动靶场，给ggg投票，第二次投票不成功，猜测有对IP地址的获取（看页面源代码也可以知道） 可以搜索一下php是怎么获取IP地址的。众所周知，可以通过XFF来伪造IP地址。简单地说，XFF是告诉服务器当前请求者最终ip的http请求头字段，通常可以直接通过修改http头中的X-Forwarded-For字段来仿造请求的最终ip。XFF的一些理解 抓包，进行下图操作 如下图 如下图，数字范围自己定，只要能得第一，不需要太多 开始攻击 看一下返回的数据包，errorcode..
墨者学院——SQL注入漏洞测试(布尔盲注)
Lollipop_zhi的博客
01-11 471
启动靶场，熟悉的界面 点击登录下方的维护通知 地址栏醒目的id出现了，尝试一下id =1’ and 1=1，空白页面 直接开kali，上sqlmap 输入sqlmap -u http://219.153.49.228:45239/new_list.php?id=1 --current -db 得到数据库名称：stormgroup 输入 sqlmap -u http://219.153.49.228:47334/new_list.php?id=1 -D stormgroup --tab..
《墨者学院——SQL手工注入漏洞测试(MySQL数据库)》
07-06
SQL手工注入是一种常见的Web安全测试技术，通过手动构造恶意SQL语句，尝试绕过应用程序的安全机制，从而获取数据库信息或执行任意操作。以下是针对MySQL数据库的手工注入常见方法和步骤： #### 1. 判断注入点 首先...
墨者学院—— SQL手工注入漏洞测试(MySQL数据库-字符型)
Lollipop_zhi的博客
02-26 2414
1.启动靶场环境，老地方点击 2.看地址栏，合理怀疑是否有注入点 这里插入知识点——怎么判断有注入点？ 一般方法： and 1=1 正常 and 1=2 错误 背后的原理是逻辑运算 真且真=真；真且假=假 所以只需要让它能判断出假，就可以合理怀疑存在注入点 比如：id=jhfjkashlk（瞎打的） 改成 id=jhdak 显示异常，有注入点 3.尝试简单使用order by 猜解列名数量，不成功 order by 之后我才判断了单引号闭合，也就是id=tingjigon
墨者网络安全——来源页伪造
weixin_53980169的博客
07-22 190
墨者网络安全之来源页伪造
在线靶场-墨者-网络安全2星-来源页伪造
weixin_42079912的博客
07-19 575
点击靶场网页，点击搜索引擎数据查询平台，提示要从google.com中进去。 于是打开浏览器代理，运行burp suite进行抓包，抓到数据包后，将数据包send to Repeater。在Repeater页面raw选项中更改Referer的内容为：http://www.google.com。点击GO发送数据到网页，网页反馈信息得到key。 ...
墨者学院 - IP地址伪造(第1题)
多崎巡礼的博客
08-04 1859
猜用户密码 得到 用户：admin        密码：admin 登陆时提示 只允许在服务器上登陆 则需要伪装ip地址 方法一：需要工具                      ： 火狐浏览器                     ：X-Forwarded-For Header 使用X-Forwarded-For Header进行伪造 输入常见弱密码 admin admin 即可 ...
【墨子学院Writeup】用火狐插件ModifyHeader或者burpsuit来伪造Referer(来源页)获取flag(KEY)
iqiqiya的博客
05-23 4881
有好多种方法   但都是通过伪装Referer先看看题目页面上有一个按钮点击会提示当前页面只允许从google.com访问    猜测需要burp抓包  根据上边提示加上Referer: google.com就可以啦可是需要注意了   这里是个坑    必须是http://www.google.com才可以。。。恭喜成功伪造来源页！<br>KEY:mozhe50e6fba2b50dc9...
2、1墨者学院实践
qq_44704184的博客
03-12 412
一、来源页伪造 点击访问 点击搜索引擎数据查询平台 可以看到提示信息：当前页面只允许从google.com访问，所以需要改变数据包的来源 利用burp suite抓取到数据包，其中referer属性可以用来跟踪web请求是从什么网站来的，即来源。所以，修改值为google.com （比如我在www.google.com 里有一个www.baidu.com 链接，那么点击这个www.baidu.com ，它的header 信息里就 Referer=http://www.google.com） bu
SpringSecurity相关jar包的介绍
最新发布
2509_94006941的博客
11-26 262
Spring Security是spring采用AOP思想，基于servlet过滤器实现的安全框架。它提供了完善的认证机制和方法级的 授权功能。是一款非常优秀的权限管理框架。Spring Security主要jar包功能介绍。
2025年第二届全国网络安全行业职业技能大赛—电子数据取证分析师（样题）
Aluxian_的博客
11-22 1085
2025年全国网络安全职业技能大赛电子数据取证分析师赛项样题公布。比赛要求选手完成电子数据提取与固定、数据恢复和深度分析三大任务，涵盖计算机、移动终端、物联网等多类设备取证。竞赛采用在线远程形式，选手需自行准备工具，通过提交Flag答题。样题包含三个实战任务：手机APP取证（30%）、压缩包数据恢复（30%）和网络攻击分析（40%），重点考察选手的规范操作能力和技术应用水平。比赛总分100分，涉及包名识别、交易记录恢复、攻击溯源等具体技能点。组委会提示选手注意系统访问稳定性，并禁止使用违规工具。
【安全启动】HSM安全启动系统学习指南
weixin_46481662的博客
11-22 258
HSM安全启动系统学习指南摘要 本指南为工程师提供关于HSM安全启动的系统性学习路径，以英飞凌AURIX TC377芯片为核心案例，涵盖基础理论、芯片实现、开发实践和行业应用四个阶段。安全启动作为设备信任链的起点，在汽车电子和工业控制领域尤为重要。指南详细解析了TC377的HSM架构、UCB/PROCON配置、密钥管理等关键技术，并提供了从开发到认证的全流程指导。特别关注汽车行业合规要求（如ISO/SAE 21434、UN R155），帮助开发者构建安全可靠的启动系统，规避常见工程陷阱。通过四阶段渐进学习，
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值