Хотите запустить CSRFTester из OWASP, но не получаете результатов - PullRequest
Новая
       44

Хотите запустить CSRFTester из OWASP, но не получаете результатов

0 голосов
/ 10 октября 2011

Я пытаюсь запустить инструмент CSRFTester из OWASP для проверки атаки CSRF в моем веб-приложении.Я могу сгенерировать отчет HTML из инструмента, но я не знаю, как его использовать .. Я пытался найти его в Google, но безрезультатно.Вот шаги, которые я выполняю до сих пор: - 

> 1. Login to my Web Application.
> 2.Access to the business logic function page.
> 3.Start Recording(CSRFTester)
> 4.Enter the data in form and click on submit.
> 5.CSRFTester tool will store all the information related to this request.
> 6.I modified the value of two parameter from 10,20 to 150,300.
> 7. Generated the Form HTML report and saved it on my desktop.
> 8. Opened a new browser.Logged into my web application with different user.
> 9.Navigate to the business logic function page.

С этого момента я не знаю, что именно я должен сделать, чтобы проверить на CSRF и как это сделать .. Пожалуйста, помогите мне ..В материалах, доступных по сети для использования этого инструмента, неоднократно указывалось то же, что я не могу понять.

Цитата сайтов: -

После создания отчета откройте новыйэкземпляр браузера, аутентифицируйтесь как другой пользователь с доступом к тем же бизнес-функциям вашего сайта тестирования, а затем запустите вновь созданный файл отчета HTML.Если действие прослеживается после просмотра файла в том же окне браузера, которое использовалось для аутентификации жертвы, то эта конкретная функция уязвима для CSRF (подделка межсайтовых запросов).

Пожалуйста, укажите мне... Также, если кто-нибудь знает о каком-либо бесплатном инструменте для тестирования уязвимостей CSRF, пожалуйста, дайте мне знать ... Я пытался использовать Acunetix, но безрезультатно.

1 Ответ

0 голосов
/ 13 октября 2011

Прежде всего, пожалуйста, убедитесь, что вы понимаете, как работает CSRF, но если вы используете инструмент и беспокоитесь об этой проблеме, вы уже знаете об этом.

Отчет должен быть HTML-страницей с некоторым кодом JavaScript.который генерирует те же запросы, которые выполняются при запуске приложения, так:

  1. Запустите приложение и выполните некоторые действия в веб-приложении
  2. Откройте новый сеанс с новым пользователем
  3. Откройте в том же браузере только что сгенерированный файл CSRFTester
  4. Проверьте, не внесены ли изменения, сделанные в другом профиле, в действительный профиль.не видя каких-либо изменений, убедитесь, что действия, которые вы выполняете в веб-приложении, являются общими действиями пользователей, такими как изменение данных пользователя.
...