DVWA练习——CSRF(跨站请求伪造)

一、难度:low

(1)随便点击一下change,网页上面已经显示出了修改信息的url值。

DVWA练习——CSRF(跨站请求伪造)_第1张图片

(2)直接修改即可:

DVWA练习——CSRF(跨站请求伪造)_第2张图片

回车,信息已经修改:

DVWA练习——CSRF(跨站请求伪造)_第3张图片

新密码测试成功:

DVWA练习——CSRF(跨站请求伪造)_第4张图片

(1)点击html打开,然后验证,发现失败

DVWA练习——CSRF(跨站请求伪造)_第5张图片

将html文件放在vul同级目录然后打开,验证失败:

DVWA练习——CSRF(跨站请求伪造)_第6张图片

抓包可以看到这里的链接是close

DVWA练习——CSRF(跨站请求伪造)_第7张图片

将html文件改为ip.html

DVWA练习——CSRF(跨站请求伪造)_第8张图片

验证成功

DVWA练习——CSRF(跨站请求伪造)_第9张图片

(2) 失败原因:

/***

DVWA练习——CSRF(跨站请求伪造)_第10张图片

CSRF ————(二)绕过http_referer来源核对_Benjiamin D的博客-CSDN博客

***/

抓包查看失败的和成功的进行对比

失败:

DVWA练习——CSRF(跨站请求伪造)_第11张图片

 成功:

DVWA练习——CSRF(跨站请求伪造)_第12张图片

查看源代码:

DVWA练习——CSRF(跨站请求伪造)_第13张图片

发现是referer抵御csrf攻击,因此保证返回的referer值中有一部分与host对应以骗过服务器的检测。

三、难度:high

/***token值防csrf攻击,需要通过受害者cookie获取token值

DVWA之CSRF(跨站请求伪造攻击)_谢公子的博客-CSDN博客_dvwa跨站请求伪造

详细解法

***/

按照csrf攻击的话,应该是上面的解法,但是我抓包看了一下,是get请求,直接就能修改url里的个人信息,修改完就直接forward然后就可以了,这个题干嘛还要这样设置

DVWA练习——CSRF(跨站请求伪造)_第14张图片

DVWA练习——CSRF(跨站请求伪造)_第15张图片

DVWA练习——CSRF(跨站请求伪造)_第16张图片

四、难度:impossible

        发现imposssible需要输入原始密码才能修改密码,黑客在不知道原始密码的前提下无法实施csrf攻击,‍♀️‍♀️‍♀️

 DVWA练习——CSRF(跨站请求伪造)_第17张图片

DVWA练习——CSRF(跨站请求伪造)_第18张图片

你可能感兴趣的:(练习,csrf,安全,web安全)