跨站点请求伪造全称Cross Site Request Forgery(以下简称CSRF)，是指攻击者可以在第三方站点制造HTTP请求并以用户在目标站点的登录态发送到目标站点，而目标站点未校验请求来源使第三方成功伪造请求。 ...
分类：
其他好文 时间：
2020-08-10 14:27:47
阅读次数：
78
概述： SSRF(Server-Side Request Forgery:服务器端请求伪造) 其形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能,但又没有对目标地址做严格过滤与限制 导致攻击者可以传入任意的地址来让后端服务器对其发起请求,并返回对该目标地址请求的数据数据流:攻击者 >服 ...
分类：
其他好文 时间：
2020-08-09 13:08:19
阅读次数：
75
CSRF 跨站请求伪造攻击 CSRF 原理 下图大概描述了 CSRF 攻击的原理，可以理解为有一个小偷在你配钥匙的地方得到了你家的钥匙，然后拿着要是去你家想偷什么偷什么。 CSRF 攻击必须要有三个条件： （1）用户已经登录了站点 A，并在本地记录了 cookie （2）在用户没有登出站点 A 的情 ...
分类：
其他好文 时间：
2020-07-28 22:19:38
阅读次数：
61
跨域问题及解决 # xss：跨站脚本攻击，cors：跨域资源共享，csrf：跨站请求伪造 # 1 同源策略：请求的url地址,必须与浏览器上的url地址处于同域上,也就是域名,端口,协议相同. # 2 CORS：跨域资源共享，允许不同的域来我的服务器拿数据 # 3 CORS请求分成两类：简单请求（s ...
分类：
编程语言 时间：
2020-07-28 22:17:26
阅读次数：
82
一、背景 CSRF是一种常见的跨站伪造请求攻击，它通过伪造真实用户的请求，来欺骗服务器以实现非法操作的目的。相比于xss攻击，它无法读取到用户的cookie等隐私信息，但可以在规则之内做一些用户未感知的危险操作。 二、原理 它利用浏览器无法区分请求是否是用户真实操作的特点，来自动向被攻击服务发送请求 ...
分类：
其他好文 时间：
2020-07-26 19:21:30
阅读次数：
81
ActiveMQ 中的 FileServer 服务允许用户通过 HTTP PUT 方法上传文件到指定目录所以抓包伪造一个fileserver路径即可。 发现可以爆出绝对路径。 两种利用姿势： 一、上传Webshell方式 先PUT一个构造的JSP的Webshell 2.jsp到fileserver/ ...
分类：
Web程序 时间：
2020-07-24 09:35:59
阅读次数：
116
csrf 跨站请求伪造 1 ajax（{ 2 3 data:{csrfmiddlewaretoken:$('[name=csrfmiddlewaretoken]').val(), 4 // csrfmiddlewaretoken:'{{ csrf_token }}', 5 } 6 }） 7 ajax ...
分类：
其他好文 时间：
2020-07-23 16:03:33
阅读次数：
59
CSRF (Cross Site Request Forgery)即跨站请求伪造，是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法 ...
分类：
其他好文 时间：
2020-07-22 23:28:09
阅读次数：
68
同源策略的解决方案 1.什么是XSS攻击，什么是CSRF，什么是CORS # 什么是XSS攻击 跨站脚本攻击分为两种方式:反射型攻击（比如，一些含有恶意脚本的URL），持久型攻击（将恶意脚本提交到被攻击网站的数据库中） # 什么是CSRF攻击 跨站请求伪造攻击:顾明思义，是攻击者通过跨站请求，以被攻 ...
分类：
其他好文 时间：
2020-07-19 16:18:27
阅读次数：
76
概述 SSRF(Server-Side Request Forgery:服务器端请求伪造)其形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能,但又没有对目标地址做严格过滤与限制，导致攻击者可以传入任意的地址来让后端服务器对其发起请求,并返回对该目标地址请求的数据。数据流:攻击者 >服务 ...
分类：
其他好文 时间：
2020-07-16 21:31:26
阅读次数：
79
