一、CSRF 攻擊 1、CSRF漏洞的發生 　　相比 XSS，CSRF 的名氣似乎並不是那么大，很多人都認為CSRF“不那么有破壞性”。真的是這樣嗎？接下來有請小明出場 —— 小明的悲慘遭遇： 　　這一天，小明同學百無聊賴地刷着Gmail郵件。大部分都是沒營養的通知、驗證碼、聊天記錄 ...

HTTP簡介 HTTP協議是Hyper Text Transfer Protocol（超文本傳輸協議）的縮寫,是用於從萬維網（WWW:World Wide Web ）服務器傳輸超文本到本地瀏覽 ...

1、Host 表示當前請求要被發送的目的地，說白了就是當前請求目標資源的host，僅包括域名和端口號，如test.haoji.me。在任何類型請求中，request都會包含此header信息。 2、Origin 表示當前請求資源所在頁面的協議和域名，如http ...

1. Host 描述請求將被發送的目的地，只含域名和端口號； 2. Origin 請求是從哪里發起的，包括域名和端口號，這個參數一般存在於CORS跨域請求中，可以看到response有對應的header: Access-Control-Allow-Origin 3.Referer 告知服務器 ...

Host 客戶端請求的服務器的域名和端口號(其中端口號是可選的，如果沒有就根據協議來默認端口號，如http是80，https是443) Referer 請求來源頁面的地址，包括協議、域名、端口號、url參數(不包括hash參數) 服務器判斷請求來源一般用這個字段 Origin 請求來源於 ...

referer顯示來源頁面的完整地址，而origin顯示來源頁面的origin: protocal+host，不包含路徑等信息，也就不會包含含有用戶信息的敏感內容 referer存在於所有請求，而origin只存在於post請求，隨便在頁面上點擊一個鏈接將不會發送origin 因此origin ...

1. host1.1 定義Host 請求頭指明了請求服務器的域名/IP地址和端口號。 組成：域名+端口號 例子：test.com:1998 如果沒有給定端口號，會自動使用被請求服務的默認端口（比如請求一個HTTP的URL會自動使用80端口）。 HTTP/1.1 的所有請求報文中必須包含一個 ...

get型CSRF，　　　　　　　　　　　　　　　　　　 所有的參數都是url提交的，這種是比較好利用的 攻擊者只需要能偽造出來鏈接，然后把對應的參數改成想要的參數，發給登入態的目標，他只要點擊就完成啦。 開始我們的實驗 先點下提示，登入 修改下個人信息，設置代理，網頁提交 ...