举例：pipwind论坛，jmeter制作自动删帖脚本 1、首先，在浏览器中进行登录删帖操作，用fiddler过滤抓取到相应步骤 2、jmeter模拟get请求，打开phpwind首页，因为每次打开phpwind都会获取新的csrf_token值，所以用正则表达式提取器获取每次新产生的csrf_to ...
分类：
其他好文 时间：
2020-02-20 22:25:28
阅读次数：
119
XSS全称Cross Site Scripting，名为跨站脚本攻击，黑客将恶意脚本代码植入到页面中从而实现盗取用户信息等操作。 常见的攻击情景： 1、用户A访问安全网站B，然后用户C发现B网站存在XSS漏洞，此时用户C向A发送了一封邮件，里面有包含恶意脚本的URL地址（此URL地址还是网站B的地址 ...
分类：
其他好文 时间：
2020-02-20 22:08:11
阅读次数：
65
前言 今天找了个新地方进行学习 嘿嘿 采光不错！特别适合看书呢。 前言 1.CSRF 跨站请求伪造（英语：Cross-site request forgery），也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当 ...
分类：
Web程序 时间：
2020-02-17 23:46:43
阅读次数：
113
CSRF(Cross-site request forgery) CSRF，全称Cross-site request forgery，翻译过来就是跨站请求伪造，是指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的 ...
分类：
其他好文 时间：
2020-02-16 22:17:07
阅读次数：
89
CSRF 在CSRF攻击场景中攻击者会伪造一个请求 （一个链接） 然后欺骗目标用户点击，用户一旦点击了这个请求，整个攻击也就完成了 所以CSRF攻击也被称为“one click“攻击 例子: 想要修改lucy购物地址信息 lucy必须处于登录的状态，lucy必须点击攻击链接 xss和csrf区别: ...
分类：
其他好文 时间：
2020-02-14 20:29:28
阅读次数：
78
CSRF（get类型） 登陆： 修改一下个人信息并提交，同时利用BurpSuite抓包查看修改个人信息的请求内容： 从提交的请求来看，后台没做CSRF token，同时也是通过GET请求来提交修改信息，我们拿到这个，修改一下，然后让lucy点击就好，我们构造的URL中把地址add改为hacker。l ...
分类：
其他好文 时间：
2020-02-14 14:31:30
阅读次数：
205
1、CSRF攻击: CSRF（Cross-site request forgery）：跨站请求伪造。 (1)、攻击原理： 如上图，在B网站引诱用户访问A网站（用户之前登录过A网站，浏览器 cookie 缓存了身份验证信息）， 通过调用A网站的接口攻击A网站。 （2）、防御措施： 1）token验证： ...
分类：
Web程序 时间：
2020-02-14 01:01:21
阅读次数：
100
1.CSRF简介 CSRF的全名是Cross Site Request Forgery（跨站请求伪造），是一种诱使用户访问一个页面，然后盗用该用户身份在第三方站点里执行一次操作的攻击手段，其本质原因在于重要操作的所有参数都是可以被攻击者猜测到的。 2.CSRF检测 2.1 收集CSRF有利用价值的点 ...
分类：
其他好文 时间：
2020-02-13 00:17:50
阅读次数：
63
钓鱼网站 钓鱼网站和正规网站的页面一模一样，提交网页数据的url也一样，但是会在页面中设置隐藏属性的form表单。例如转账：给用户书写的form表单，对方账号的input没有name属性，然后另外写一个具有默认的并且是隐藏的具有name属性的input框。 form表单如何通过csrf校验 为了防止 ...
分类：
其他好文 时间：
2020-02-07 20:37:46
阅读次数：
62
一.Django中间件 1).什么是中间件 官方的说法：中间件是一个用来处理Django的请求和响应的框架级别的钩子。它是一个轻量、低级别的插件系统，用于在全局范围内改变Django的输入和输出。每个中间件组件都负责做一些特定的功能。 但是由于其影响的是全局，所以需要谨慎使用，使用不当会影响性能。 ...
分类：
其他好文 时间：
2020-02-07 19:09:34
阅读次数：
74
