如何使用lazyCSRF在Burp Suite上生成强大的CSRF PoC

安全 数据安全
lazyCSRF是一款功能强大的Burp Suite插件,该工具可以帮助广大研究人员生成功能强大的CSRF(跨站请求伪造) PoC。

关于lazyCSRF

lazyCSRF是一款功能强大的Burp Suite插件,该工具可以帮助广大研究人员生成功能强大的CSRF(跨站请求伪造) PoC。Burp Suite是一个拦截HTTP代理,是执行Web应用程序安全测试的强大工具。引入lazyCSRF之后,Burp Suite就可以直接生成CSRF PoC了。

在此之前,我比较喜欢使用的是“Generate CSRF PoC”,但这个插件无法自动判断请求的内容,而且它甚至还会使用“form”来生成无法用“form”表示的 PoC,例如使用JSON作为参数或PUT请求的情况。除此之外,在生成的CSRF PoC中,可以在Burp套件本身中显示的多字节字符经常会显示成乱码。因此,lazyCSRF便应运而生了。

功能介绍

  • 使用XMLHttpRequest自动切换至PoC:参数为JSON情况,或请求为PUT/PATCH/DELETE的情况;
  • 支持显示多字节字符;
  • 使用Burp Suite社区版生成CSRF PoC(当然也适用于Burp Suite专业版);

多字节数据显示差异

下图中显示的是Burp Suite的CSRF PoC生成器与LazyCSRF之间在显示多字节字符时的差异。

LazyCSRF能够在不会混淆多字节字符的情况下生成CSRF PoC,而LazyCSRF也是Burp Suite中唯一一个不会混淆多字节字符或不会将多字节字符显示为乱码的插件工具。

工具安装

广大研究人员可以直接访问该项目的【Releases页面】下载编译好的JAR包。然后在Burp Suite中,点击“Extensions”标签页,然后选择“添加新的插件”。选择插件类型为“Java”,然后选择我们已下载的JAR。

工具使用

我们可以通过在菜单栏中选择“Extensions -> LazyCSRF -> Generate CSRF PoC By LazyCSRF”来生成一个CSRF PoC。

代码构建

首先,我们需要使用下列命令将该项目源码克隆至本地:

  1. git clone https://github.com/tkmru/lazyCSRF.git 

接下来,我们就可以选择下列方式来进行代码构建了。

(1) Intellij构建

如果你使用的是IntelliJ IDEA,你就可以点击“Build -> Build Artifacts -> LazyCSRF:jar -> Build”来进行代码构建了。

(2) 命令行构建

我们也可以选择在命令行中使用maven进行代码构建:

  1. $ mvn install 

许可证协议

本项目的开发与发布遵循MIT开源许可证协议。

项目地址

lazyCSRF:【GitHub传送门

 

责任编辑:赵宁宁 来源: FreeBuf
相关推荐

2015-06-16 13:37:03

2020-10-23 07:36:19

安全工具OWASP ZAPweb安全

2021-03-02 09:41:52

Android App攻击流量

2010-12-15 17:22:59

2023-10-17 08:00:00

人工智能ColabMusicGen

2019-10-23 14:34:15

KotlinAndroid协程

2023-04-20 17:26:40

FreeDOSC 语言

2022-06-30 13:54:16

BottlesLinuxWindows

2022-10-11 09:05:58

IPFS区块链存储

2021-06-03 10:16:12

CSRF攻击SpringBoot

2018-09-30 16:05:41

Steam PlayLinuxWindows

2019-12-05 10:30:17

LinuxMultitail

2011-07-07 16:00:15

iPhone OpenCV

2011-03-22 10:06:27

LinuxZFS

2009-06-11 09:39:33

netbeans 生成Webservice

2010-01-27 13:53:40

强大的CC++编译器

2021-09-27 07:57:15

MEAT安全工具安全取证

2020-08-25 19:56:43

MinGWWindowsGNU

2016-08-11 15:03:36

Redis Sentigossip protagreement p

2016-08-11 14:32:54

Visual StudAzure远程调试
点赞
收藏

51CTO技术栈公众号