CSRF***流程为:

***者发现CSRF漏洞——构造代码——发送给受害人——受害人打开——受害人执行代码——完成***

完成***成功的条件:

    管理员正在网站后台,或则管理员的session并没有失效。


测试网站:

    owaspbwa环境中的DVWA应用环境


测试内容为CSRF漏洞

如图所示:

CSRF漏洞测试案例_第1张图片


修改登陆密码的HTTP请求内容如下:

GET /dvwa/vulnerabilities/csrf/?password_new=admin&password_conf=admin&Change=Change HTTP/1.1

Host: 192.168.232.132

Connection: close

Upgrade-Insecure-Requests: 1

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2984.0 Safari/537.36

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,p_w_picpath/webp,*/*;q=0.8

Referer: https://192.168.232.132/dvwa/vulnerabilities/csrf/

Accept-Encoding: gzip, deflate, sdch, br

Accept-Language: zh-CN,zh;q=0.8,en;q=0.6

Cookie: security=low; PHPSESSID=3i35050qluj2hvvqu9rk760o81; acopendivids=swingset,jotto,phpbb2,redmine; acgroupswithpersist=nada


Nginx测试

本地搭建nginx环境,伪造http请求,提交http请求,直接修改192.168.232.132中DVWA的登陆口令!!!

创建csrf.html文件,内容如下:

csrf漏洞测试

This is a CSRF test.

点这里



访问CSRF.html,如图所示

CSRF漏洞测试案例_第2张图片


点击超链接,成功发送请求,且修改了DVWA的登录口令,如图所示:

CSRF漏洞测试案例_第3张图片


使用修改后的密码可以直接登陆后台!!!


工具:OWASP-CSRFTester-1.0.jar,可以自动生成不同内容的***文件。

浏览器设置代理,端口为8008,软件看下有没有token的存在,然后开始使用。


软件中Report Type了是让你选择用什么方法来进行***:

Forms:创建一个form表单。内容为hidden(隐藏),用户不可见(可POST、GET)

iFrame:创建一个iframe框架,高宽为0,用户不可见。(可POST、GET)

IMG:创建一个IMG标签(只能GET)。

XHR:创建一个AJAX请求(可POST、GET)

Link:创建一个a标签的超链接(只能GET)


通常使用第一个就可以了

第二个容易找不到对象(如果你是新手,对JavaScript不熟的话,不建议选择这个)

第三个只能发送GET请求,有限制。

第四个有跨域限制,有的浏览器不允许发送跨域请求,除非网站有设置。

第五个需要点击才能触发(当然可以修改为自动触发),还有一个是他也只能发送GET请求。


本次测试全部为本地环境,如有雷同,纯属巧合!!!

就到这里吧!!!