DVWA靶场练习三—CSRF

最新推荐文章于 2025-06-22 09:02:40 发布
最新推荐文章于 2025-06-22 09:02:40 发布
阅读量820 收藏
点赞数
CC 4.0 BY-SA版权
分类专栏： 网络安全&云安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41490561/article/details/105913933
本文深入探讨了CSRF（跨站请求伪造）攻击的原理，通过DVWA靶场展示了不同级别的CSRF漏洞利用过程，包括源码分析、攻击工具Burpsuite的使用以及防御策略。在低级、中级和高级场景中，揭示了如何通过HTTP_REFERER验证、Anti-CSRF token等方式进行防护。最后提到了跨域问题及其在XSS和CORS漏洞中的作用。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

  • CSRF介绍

       CSRF跨站点请求伪造（Cross-Site Request Forgery）是一种攻击，它迫使最终用户在当前已通过身份验证的Web应用程序上执行不需要的操作。CSRF攻击专门针对状态更改请求而不是数据窃取，因为攻击者无法看到对伪造请求的响应。在社交工程的一点帮助下（例如通过电子邮件或聊天发送链接），攻击者可能会欺骗Web应用程序的用户执行攻击者选择的操作。如果受害者是普通用户，则成功的CSRF攻击会迫使用户执行状态更改请求，例如转账，更改其电子邮件地址等。如果受害者是管理帐户，则CSRF可能会破坏整个Web应用程序。

 

CSRF攻击原理图：

 

 

  • 工具

       Burpsuite

 

  • 低级（Low Level）

Burp截取页面，尝试修改密码：

 

了解本专栏 订阅专栏 解锁全文 超级会员免费看
DVWA靶场练习
weixin_43058307的博客
03-16 992
DVWA学习笔记 SQL注入 完全相信用户输入，没有对用户输入进行过滤。 发现SQL注入后， union select 1,datebase()# 爆破库 union select 1,table_name from information_schema.tables where table_name='数据库名#爆破行' union select 1,column_name from information_schema.tables where table_name='列名'#爆破列 union se
DVWA练习之CSRF
c_xx__的博客
10-31 478
csrf低中高级以及防御 攻击者：物理机，admin登录 被害者：1337登录 低级： a.源码： 服务器收到修改密码的请求后，会检查参数pass_new与pass_conf是否相同，如果相同，则会更新数据库，修改密码，并没有任何的防CSRF机制 b.操作步骤： 法一：发送修改密码的链接给被害者 保存链接，被害者访问链接： 密码成功更改 原密码登录失败： 更改后的密码登录成功 但是这样的链接目的过于明显，可以换为短链接： 法二：将修改密码的链接写入脚本网页 复制修改密码的链接，在kali上写脚本
DVWA靶场练习（适合新手的详细步骤）
m0_66588420的博客
05-22 2025
5.猜测表名：1' and length((select group_concat(table_name) from information_schema.tables where table_schema='dvwa'))=15-- qwe===>表名总长度为15。4.查询表名：0' union select 1,group_concat(table_name) from information_schema.tables where table_schema='dvwa'-- qwe。
渗透入门系列-DVWA靶场实战通关教程（Low等级一到七关--保姆级详细版）
最新发布
ping204568238的博客
06-22 1256
暴力破解利用BurpSuite自动化尝试用户名密码组合，通过集束炸弹模式加载字典爆破凭证；命令注入通过拼接特殊字符（如|或&）在输入中嵌入系统指令，例如127.0.0.1 | dir实现目录遍历；CSRF攻击构造恶意URL（如包含password_new=123&Change=Change）诱骗用户点击以非授权修改密码；文件包含漏洞因未过滤page参数，可通过?page=../../etc/passwd读取服务器敏感文件或远程执行代码；文件上传功能未校验文件类型。
CSRF靶场练习
Flynn的博客
03-22 2230
Bodhi - Client-side Vulnerability Playground CSRF篇
DVWA靶场练习-XSS（Reflected）
xxwithyou的博客
05-19 332
使用img标签可以正常显示，使用这个代码，依然报错，猜测是有scr的都会过滤掉，这个时候使用不使用伪代码，使用img标签中的onerror属性，通过源码分析，我们可以看出来，代码中添加了一个正则匹配，匹配< 后包含有script的任意字符串，导致我们之前含有< script的内容都被替换成了""字符。可以看到，最后将下面的Hello 反馈到了输出的界面，导致页面解析了弹窗。
DVWA靶场全解析（新手向）
LS_Sy的博客
02-18 3386
我们直接在输入栏内随便填写数据，之后使用bp进行抓包抓到包后发送到instruder模块进行爆破，由于需要同时爆破用户名和密码两个字段，所以我们选择集束炸弹模式设置好字典后开始爆破，最后根据响应头的不同得到用户名和密码。
DVWA靶场-Brute Force暴力破解
mlws1900的博客
03-12 2040
具体来说，它使用了mysqli_real_escape_string()函数对用户输入的用户名进行转义，确保特殊字符在SQL语句中不会被误解为SQL语句的一部分，从而保护数据库安全。进入暴力破解的界面，有点基础的都知道，在bp中通过字典，导入用户名和密码进行爆破，这样的操作大家见多了，再写没啥意思，想看的可以去pikachu靶场的暴力破解去了解具体操作，本文主要结合代码进行分析。3.high-高等安全等级，有安全措施保护，是中等安全等级的加深，这个等级下的安全漏洞可能不允许相同程度的攻击。
DVWA靶场搭建与使用
09-02
**DVWA靶场搭建与使用** DVWA（Damn Vulnerable Web Application）是一个开源的Web应用程序，专门为网络安全专业人员、开发人员和学生设计，用于学习和练习常见Web应用漏洞的识别和利用。它提供了多种安全漏洞的...
DVWA靶机通关攻略第三关——CSRF攻击
小飞飞的博客
03-09 1294
DVWA靶机通关攻略请求伪造详细教学
dvwa靶场的简单练习
m0_56750162的博客
01-30 1269
记录dvwa靶场的练习
靶场练习之DVWA
sk_Overlord_knife的博客
06-08 2987
DVWA练习SQL注入Low级别Medium 级别High级别Impossible级别 SQL注入 本节主要讲解DVWA的SQL注入. Low级别 输入1: 输入1’: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''1''' at line 1 根据报错信息,可以确定输入参数的内
DVWA靶场第三关 CSRF（low级）
weixin_61178511的博客
01-29 2650
CSRF的中文叫：”跨站请求攻击“，它是通过仿照某一个特殊的网页（重置密码）来进行诱惑性攻击。 首先，更改难度为low级，打开浏览器代理，打开Burp Suite进行抓包，输入要修改的密码。呈现如下页面。 可以看到进行构造的poc，然后点击行动->相关工具->CSRF Poc 生成进行攻击poc 点击用浏览器测试，出现如上框，进行复制，再打开页面进入如下网页 点击Submit request完成攻击，然后直接放包即可 登录查看旧密码已失效。即更改成功 ...
DVWA靶场之CSRF(跨站请求伪造)
m0_65712192的博客
11-12 1315
DVWA靶场之CSRF(跨站请求伪造)
DVWA靶场之CSRF通关详解
qq_62169455的博客
06-27 4343
CSRF的形成原因主要是由于Web应用程序没有充分验证请求来源的问题。正常的请求必须携带正确的Cookie信息，而攻击者可以构造一个恶意网站，在其中包含一个发送CSRF请求的链接或表单，当用户访问这个网站时，浏览器会自动发送CSRF请求到被攻击的网站，从而实现攻击。这里查看源码，与刚刚的low等级比较发现，这里只有一个等级发生了改变，即在传入密码和确认密码参数前先进行了一个if语句的判断，判断里面的内容主要是验证这个访问请求是否从dvwa网站本身发起的，如果不是这个网站发起的请求，后面的操作就不执行。
DVWA靶场系列（二）—— CSRF（跨站请求伪造）
qq_45612828的博客
07-10 1963
DVWA靶场系列（二）—— CSRF（跨站请求伪造）
dvwa靶场通关（三）
qq_65950075的博客
05-29 842
csrf跨站请求伪造：是一种对网站的恶意利用。尽管听起来像跨站脚本，但它与xss非常不同，xss利用站点内受信任用户，而csrf则通过伪造来自受信任用户的请求来利用受信任的网站，与xss攻击相比，csrf则通过伪装来自受信任用户的请求来利用受信任的网站。与xss攻击相比，csrf攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比xss更具危险性。本质来说就是在你访问网站信息的同时，盗用你的cookie，用你的身份进行一些非法操作。
靶场笔记之dvwa训练场石器篇
快乐时光
05-12 459
说明 可以在windows上下载一个phpstudy来搭建dvwa环境，之前有专门针对sql注入的练习，本篇不再做sql注入的练习记录，先针对指令注入、CSRF、文件包含、文件上传、XSS等进行练习。 如果选择windows部署环境，页面可能会有乱码，需要修改一下PHP文件编码。找到dvwaPage.inc.php页面，在Header部分，将Header中的utf-8修改为gb2312即可。 指令注入 简单 先查看一下指令注入简单模式下的代码 php将输入的参数直接...
dvwa靶场练习教程
07-28
DVWA是一款Web渗透靶场，用于提供合法的专业技能和应用测试环境。它提供了四个不同等级的渗透防护，难度逐级增加。常用于练习XSS、CSRF漏洞等。安装和配置DVWA可以使用phpstudy完成。首先，需要下载并解压dvwa的安装文件，得到一个名为dvwa-master的文件夹。然后，打开dvwa-master文件夹中的config.inc.php配置文件，找到C:\phpstudy\phpstudy_pro\WWW\DVWA-master\config路径下的config.inc.php文件。在该文件中，补充完整缺少的key。\[1\]\[2\]\[3\] #### 引用[.reference_title] - *1* *2* *3* [DVWA靶场虚拟机搭建教程](https://blog.csdn.net/Victor1889/article/details/129408417)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^insertT0,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

afei00123

您的支持是我创作最大的动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值