网络安全,黑客技术,黑客论坛

会员中心

当前位置：又懂啦 >> 黑客资讯

小风福利公众号

文章详情

csrf攻击原理及攻击流程实例演示

日期：2019/12/7 23:48:37　

这篇文章主要内容的主角：“csrf”相信在有人听说过，但是不知道如何去使用，当然我们做渗透测试目的不是为了去攻击别人，这是违法的，还是遵守国家法律为好。

角色：小马----小明----黑客

红色代表受害者-----绿色代表好人-----黑色代表坏人

攻击流程

小马在自己电脑登录中国银行官方网站给小明转1000块钱，这时候黑客想要小马这一千块钱转到自己账号来，那怎么办呢，聪明的黑客也登录自己中国银行的官方网站在转账界面给自己转账，然后自己截获一个数据包下来做数据修改好，将转账人名字修改成小马，精心布局了一个网站页面上传到自己网站，从而获得了一个链接，这时候后黑客就将自己精选布局的网页页面链接通过某种方式发给小马，这时候小马还徘徊在转账还没有退出登录，就收到一个黑客链接，小马打开一看，页面很诱惑，就随便点了一下，这时候1000块钱不知不觉的就自动转到黑客的账号，小马这时候回到自己银行页面一看，发现提示转账成功，以为自己已经成功转到小明账号上，于是打电话跟小马说自己已经把1000块钱转到小明账户上，小明去银行查帐，发现账户并没有资金变动，这就是csrf的攻击手段，这里只是拿1000元做比例，如果这名黑客想把小马的账户资金全部拿走只是弹指之间的事，csrf攻击广泛，危害性极大，可以任意修改任何表单，给人民生活带来极大危害。

如何防范csrf

不要随便点开陌生的链接，比如电子邮件，移动短信链接...

构架图

下面我来做个实例演示

<html>
  <body>
  <script>history.pushState('', '', '/')</script>
    <form action="http://192.168.41.145/dvwa/vulnerabilities/csrf/">
      <input type="hidden" name="password&#95;new" value="admin" />
      <input type="hidden" name="password&#95;conf" value="admin" />
      <input type="hidden" name="Change" value="Change" />
      <input type="submit" value="美女图片点击查看" />
    </form>
  </body>
</html>

上面是我简单写出的csrf代码页面，为了大家更容易理解，代码很简单，一看就明白，简单的这些代码却固有你们想不到的威力，拿这个页面想让别人点开是不可能的，我是测试页面，不必要加太多东西，想拿去诱惑别人点击。真正操作起来是看不出任何破绽，页面很诱惑。当然这是一个修改密码的表单页面，当把代码保存文件名为csrf后缀名为html，接下来我们打开看看是什么效果。

测试代码