文章详情
csrf攻击原理及攻击流程实例演示
这篇文章主要内容的主角:“csrf”相信在有人听说过,但是不知道如何去使用,当然我们做渗透测试目的不是为了去攻击别人,这是违法的,还是遵守国家法律为好。
角色:小马----小明----黑客
红色代表受害者-----绿色代表好人-----黑色代表坏人
攻击流程
小马在自己电脑登录中国银行官方网站给小明转1000块钱,这时候黑客想要小马这一千块钱转到自己账号来,那怎么办呢,聪明的黑客也登录自己中国银行的官方网站在转账界面给自己转账,然后自己截获一个数据包下来做数据修改好,将转账人名字修改成小马,精心布局了一个网站页面上传到自己网站,从而获得了一个链接,这时候后黑客就将自己精选布局的网页页面链接通过某种方式发给小马,这时候小马还徘徊在转账还没有退出登录,就收到一个黑客链接,小马打开一看,页面很诱惑,就随便点了一下,这时候1000块钱不知不觉的就自动转到黑客的账号,小马这时候回到自己银行页面一看,发现提示转账成功,以为自己已经成功转到小明账号上,于是打电话跟小马说自己已经把1000块钱转到小明账户上,小明去银行查帐,发现账户并没有资金变动,这就是csrf的攻击手段,这里只是拿1000元做比例,如果这名黑客想把小马的账户资金全部拿走只是弹指之间的事,csrf攻击广泛,危害性极大,可以任意修改任何表单,给人民生活带来极大危害。
如何防范csrf
不要随便点开陌生的链接,比如电子邮件,移动短信链接...
下面我来做个实例演示
<html> <body> <script>history.pushState('', '', '/')</script> <form action="http://192.168.41.145/dvwa/vulnerabilities/csrf/"> <input type="hidden" name="password_new" value="admin" /> <input type="hidden" name="password_conf" value="admin" /> <input type="hidden" name="Change" value="Change" /> <input type="submit" value="美女图片点击查看" /> </form> </body> </html>
上面是我简单写出的csrf代码页面,为了大家更容易理解,代码很简单,一看就明白,简单的这些代码却固有你们想不到的威力,拿这个页面想让别人点开是不可能的,我是测试页面,不必要加太多东西,想拿去诱惑别人点击。真正操作起来是看不出任何破绽,页面很诱惑。当然这是一个修改密码的表单页面,当把代码保存文件名为csrf后缀名为html,接下来我们打开看看是什么效果。
大家有发现没有,前端我们访问出现了一个按钮,在前端并看不到后端代码,当把这个页面上传到服务器,然后把链接丢给别人去访问就中招了,不知不觉自网站密码被改了,上面我们提过,csrf只要是表单提交都是它的能力范围内,不管是什么网站都一样,只要有提交表单它就有这个能力管理。,
比如图上ip是黑客私自的服务器,把csrf.html页面上传到该服务器,现在一切准备就绪,准备拉出去钓鱼。等等还少一步没介绍,脑子有点懵,心有点急,我应该在来看看官方网站的IP,为了大家方便辨认,这一步不可少。
如图下:是官方网站IP
现在我们可以测试了,比如:我是受害者,首先我们打开官方网站后台修改管理网站后台密码,
图上密码修改为:123456
现在提示密码修改成功,现在 我们打开黑客布局的页面看看,
页面出现一个按钮,我点一下看看效果,不知道大家发现了没有我点了一下就自动弹出密码修改成功,悲剧了,密码刚刚改,现在登录不了,密码自己改掉了。
这时候黑客已经把我们的密码改了,真是悲剧,csrf的威力真不是吹的吧。
csrf相关视频课程:https://www.youdongla.com/course/4221.html
相关推荐
- 06-04学习与工作中最实用的快捷键!
- 02-24360主机卫士xss绕过,xss绕过多种防护技巧
- 09-08黑客为什么很难攻破360
- 06-02微信公众号怎么赚钱?
- 01-05如何成为黑客?怎么样才能成为手机黑客
- 08-26七夕情人节表白的正确姿势_表白网页一键生成
- 12-21新人如何成为一名黑客,一个新手怎么做黑客
- 07-23「黑客浏览器」黑客都用什么黑客浏览器呢?
- 05-27为你的word加上文字拼音+word排版小技巧
- 10-10电脑必学常用快捷键,你知道几个?
- 01-14程序员可以自学吗?编程能自学吗?
- 06-26用手机怎么当黑客,用手机学习自学教黑客技术
- 05-22Windows资源管理器隐藏的小技巧
- 09-09用python利用字典破解zip文件