当前位置：首页 > news >正文

web-csrf

news 2026/2/7 11:53:23

CSRF与XSS的区别：

get请求

原理：

pikachu为例

post请求

pikachu为例

CSRF与XSS的区别：

CSRF是借用户的权限完成攻击，攻击者并没有拿到用户的权限，而XSS是直接盗取到了用户的权限

get请求

原理：

A在某个网站更改我们所需要的信息信息点击提交，用bp开启抓包。然后把更改数据的get请求网址复制出来发给B。当B点击这个链接打开的时候，如果B恰好登陆我们的目标网站，信息就会修改成功。

靶场：pikachu的get，dvwa的low

pikachu为例

lili用户进行信息更改界面，然后把提交的链接发送给allen

用bp进行抓包

GET /vul/csrf/csrfget/csrf_get_edit.php?sex=777888&phonenum=777888&add=777888&email=777888&submit=submit

构造payload

http://8.130.137.228:84/vul/csrf/csrfget/csrf_get_edit.php?sex=777888&phonenum=777888&add=777888&email=777888&submit=submit

将payload发送给allen,allen进行点击

post请求

pikachu为例

可以看到我们进行修改的参数在请求体中可以看到

利用bp的poc（一个html页面）生成网址链接

访问这个链接的时候是不能关闭bp的代理的。访问到这个界面之后，就要关闭bp代理，点击按钮就修改信息成功了

防护措施：

①对敏感信息的操作增加安全的token；

②对敏感信息的操作增加安全的验证码；

③对敏感信息的操作实施安全的逻辑流程，比如修改密码时，需要先校验旧密码等。

④用referer来限制访问跳转页面

web-csrf

目录 CSRF与XSS的区别： get请求原理： pikachu为例 post请求 pikachu为例 CSRF与XSS的区别： CSRF是借用户的权限完成攻击，攻击者并没有拿到用户的权限，而XSS是直接盗取到了用户的权限 get请求原理：…...

编程日记 2023/8/9 2:33:02

数据结构—图的存储结构

6.图回顾：数据的逻辑结构集合——数据元素间除 “同属于一个集合” 外，无其他关系。线性结构——一个对一个，如线性表、栈、队列树形结构——一个对多个，如树图形结构——多个对多个，如图 6.1图的定义和术语图:…...

编程日记 2023/8/9 2:32:00

Vue3 中 setup，ref 和 reactive 的理解

setup Vue3中使用了Composition API这种写法，使得所有的组合API函数都在此使用, 只在初始化时执行一次。函数如果返回对象, 对象中的属性或方法, 模板中可以直接使用 ref 作用：定义一个数据的响应式语法：const xxx ref(initValue) 一般用来…...

编程日记 2023/8/9 2:30:59

BL302嵌入式ARM控制器进行SQLite3数据库操作的实例演示

本文主要讲述了在钡铼技术BL302嵌入式arm控制器上运行 SQLite3 数据库的命令示例。SQLite3 是一个轻型的嵌入式数据库，不需要安装数据库服务器进程，占用资源低且处理速度快。首先，需要将对应版本的 SQLite3 文件复制到设备的 /usr/ 目录下&…...

编程日记 2023/8/9 2:29:55

C++ 多线程：std::future

std::future std::future 简介示例1博客引用来源 std::future 简介我们前面介绍的std::thread 是C11中提供异步创建多线程的工具，只能是异步运行任务，却无法获取任务执行的结果，一般都是依靠全局对象，全局对象在多线程下是及其不…...

编程日记 2023/8/9 2:28:54

断路器回路电阻试验

试验目的断路器回路电阻主要取决于断路器动、静触头的接触电阻, 其大小直接影响正常运行时的发热情况及切断短路电流的性能, 是反应安装检修质量的重要数据。试验设备回路电阻测试仪厂家： 湖北众拓高试代销试验接线对于单断口的断路器, 通过断口两端的接线…...

编程日记 2023/8/9 2:27:53

Python中的CALL_FUNCTION指令

在Python字节码中，CALL_FUNCTION指令后跟的数字代表这次函数调用需要从栈上取出的参数的数量。具体来说，这个数字包括位置参数和关键字参数的数量。这个数字的低两位表示位置参数的数量，然后每两位表示一个关键字参数的数量。因此&#xff…...

编程日记 2023/8/9 2:26:52

微服务——es数据聚合+RestClient实现聚合

数据聚合聚合的种类 DSL实现Bucket聚合如图所示，设置了10个桶，那么就显示了数量最多的前10个桶，品牌含有7天酒店的有30家， 品牌含有如家的也有30家。修改排序规则限定聚合范围 DSL实现Metrics聚合如下案例要求对不同的品…...

编程日记 2023/8/9 2:25:50

代码分析Java中的BIO与NIO

开发环境 OS：Win10（需要开启telnet服务，或使用第三方远程工具） Java版本：8 BIO 概念 BIO(Block IO)，即同步阻塞IO，特点为当客户端发起请求后，在服务端未处理完该请求之前&#xff…...

编程日记 2023/8/9 2:24:49

网络安全（黑客）工作篇

一、网络安全行业的就业前景如何？ 网络安全行业的就业前景非常广阔和有吸引力。随着数字化、云计算、物联网和人工智能等技术的迅速发展，网络安全的需求持续增长。以下是网络安全行业就业前景的一些关键因素： 高需求：随着互联网的…...

编程日记 2023/8/9 2:23:45

zookeeper入门学习

zookeeper入门学习 zookeeper应用场景分布式协调组件客户端第一次请求发给服务器2，将flag值修改为false，第二次请求被负载均衡到服务器1，访问到的flag也会是false 一旦有节点发生改变，就会通知所有监听方改变自己的值&#…...

编程日记 2023/8/9 2:22:43

VirtualEnv 20.24.0 发布

导读VirtualEnv 20.24.0 现已发布，VirtualEnv 用于在一台机器上创建多个独立的 Python 运行环境，可隔离项目之间的第三方包依赖，为部署应用提供方便，把开发环境的虚拟环境打包到生产环境即可，不需要在服务器上再折腾一…...

编程日记 2023/8/9 2:21:42

LabVIEW开发高压航空航天动力系统爬电距离的测试

LabVIEW开发高压航空航天动力系统爬电距离的测试更多电动飞机MEA技术将发电，配电和用电集成到一个统一的系统中，提高了飞机的可靠性和可维护性。更多的电动飞机使用更多的电能来用电动替代品取代液压和气动系统。对车载电力的需求不断增加，…...

编程日记 2023/8/9 2:20:40

【论文阅读】基于深度学习的时序异常检测——Anomaly Transformer

系列文章链接数据基础：多维时序数据集简介论文一：2022 Anomaly Transformer：异常分数预测论文二：2022 TransAD：异常分数预测论文链接：Anomaly Transformer.pdf 代码链接：https://github.co…...

编程日记 2023/8/9 2:19:39

Java并发总结

1.创建线程三种方式 Runnable.Callable接口使用继承Thread类的方式创建多线程Runnable 和Callable区别 Callable规定（重写）的方法是call()，Runnable规定（重写）的方法是run()。Callable的任务执行后可返回值&#xff0…...

编程日记 2023/8/9 2:18:35

视频汇聚平台EasyCVR视频广场侧边栏支持拖拽

为了提升用户体验以及让平台的操作更加符合用户使用习惯，我们在EasyCVR v3.3版本中，支持面包屑侧边栏的广场视频、分组列表、收藏这三个模块拖拽排序，并且该操作在视频广场、视频调阅、电子地图、录像回放等页面均能支持。 TSINGSEE青犀视频…...

编程日记 2023/8/9 2:17:34

MyCat分片规则——范围分片、取模分片、一致性hash、枚举分片

1.范围分片 2.取模分片范围分片和取模分片针对数字类型的字段可以，但是针对于字符串类型的字段时。这两种就不适用了。 3.一致性hash 4.枚举分片默认节点指的是，如果我们向数据库表插入数据的时候，超出了这个枚举值，那么默认向…...

编程日记 2023/8/9 2:16:32

设计模式行为型——备忘录模式

目录什么是备忘录模式备忘录模式的实现备忘录模式角色备忘录模式类图备忘录模式举例备忘录模式代码实现备忘录模式的特点优点缺点使用场景注意事项实际应用什么是备忘录模式备忘录模式（Memento Pattern）又叫做快照模式&#x…...

编程日记 2023/8/9 2:15:32

Parquet存储的数据模型以及文件格式

文章目录数据模型Parquet 的原子类型Parquet 的逻辑类型嵌套编码 Parquet文件格式本文主要参考文献：Tom White. Hadoop权威指南. 第4版. 清华大学出版社, 2017.pages 363. Aapche Parquet是一种能有效存储嵌套数据的列式存储格式，在Spark中应用较多。 …...

编程日记 2023/8/9 2:14:30

Go和Java实现访问者模式

Go和Java实现访问者模式我们下面通过一个解压和压缩各种类型的文件的案例来说明访问者模式的使用。 1、访问者模式在访问者模式中，我们使用了一个访问者类，它改变了元素类的执行算法。通过这种方式，元素的执行算法可以随着访问者改变而…...

编程日记 2023/8/9 2:13:28

python打卡day49

知识点回顾： 通道注意力模块复习空间注意力模块CBAM的定义作业：尝试对今天的模型检查参数数目，并用tensorboard查看训练过程 import torch import torch.nn as nn# 定义通道注意力 class ChannelAttention(nn.Module):def __init__(self,…...

编程新知 2026/2/7 5:37:17

23-Oracle 23 ai 区块链表（Blockchain Table）

小伙伴有没有在金融强合规的领域中遇见，必须要保持数据不可变，管理员都无法修改和留痕的要求。比如医疗的电子病历中，影像检查检验结果不可篡改行的，药品追溯过程中数据只可插入无法删除的特性需求；登录日志、修改日志…...

编程新知 2026/1/27 3:40:30

关于nvm与node.js

1 安装nvm 安装过程中手动修改 nvm的安装路径， 以及修改通过nvm安装node后正在使用的node的存放目录【这句话可能难以理解，但接着往下看你就了然了】 2 修改nvm中settings.txt文件配置 nvm安装成功后，通常在该文件中会出现以下配置&…...

编程新知 2026/1/28 15:17:32

Python爬虫实战：研究feedparser库相关技术

1. 引言 1.1 研究背景与意义在当今信息爆炸的时代，互联网上存在着海量的信息资源。RSS（Really Simple Syndication）作为一种标准化的信息聚合技术，被广泛用于网站内容的发布和订阅。通过 RSS，用户可以方便地获取网站更新的内容，而无需频繁访问各个网站。然而，互联网…...

编程新知 2025/8/18 9:54:31

微信小程序 - 手机震动

一、界面 <button type"primary" bindtap"shortVibrate">短震动</button> <button type"primary" bindtap"longVibrate">长震动</button> 二、js逻辑代码注：文档 https://developers.weixin.qq…...

编程新知 2026/1/29 8:41:55

C++ 基础特性深度解析

目录引言一、命名空间（namespace） C 中的命名空间与 C 语言的对比二、缺省参数 C 中的缺省参数与 C 语言的对比三、引用（reference） C 中的引用与 C 语言的对比四、inline（内联函数…...

编程新知 2026/1/15 4:25:16

全面解析各类VPN技术：GRE、IPsec、L2TP、SSL与MPLS VPN对比

目录引言 VPN技术概述 GRE VPN 3.1 GRE封装结构 3.2 GRE的应用场景 GRE over IPsec 4.1 GRE over IPsec封装结构 4.2 为什么使用GRE over IPsec？ IPsec VPN 5.1 IPsec传输模式（Transport Mode） 5.2 IPsec隧道模式（Tunne…...

编程新知 2025/11/3 0:44:41