CN112668001A - 路由器抗csrf攻击的测试方法及系统 - Google Patents

路由器抗csrf攻击的测试方法及系统 Download PDF

Info

Publication number
CN112668001A
CN112668001A CN202011534570.0A CN202011534570A CN112668001A CN 112668001 A CN112668001 A CN 112668001A CN 202011534570 A CN202011534570 A CN 202011534570A CN 112668001 A CN112668001 A CN 112668001A
Authority
CN
China
Prior art keywords
page
main interface
dut
fiddler
packet capturing
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202011534570.0A
Other languages
English (en)
Inventor
陈维
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shenzhen Tenda Technology Co Ltd
Original Assignee
Shenzhen Tenda Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shenzhen Tenda Technology Co Ltd filed Critical Shenzhen Tenda Technology Co Ltd
Priority to CN202011534570.0A priority Critical patent/CN112668001A/zh
Publication of CN112668001A publication Critical patent/CN112668001A/zh
Pending legal-status Critical Current

Links

Images

Abstract

本发明提供了一种路由器抗CSRF攻击的测试方法及系统,该测试方法包括:开启步骤:开启Fiddler抓包工具,登录DUT页面,然后执行抓包查看步骤、主界面步骤、修改步骤;抓包查看步骤:PC搭建WEB服务器,在已登录状态访问另外一个网页,Fiddler抓包工具抓包查看是否含有referer字段,如果有referer字段,跳到登录页面后需要重新登陆,如果没有referer字段,页面跳转至DUT web主界面;主界面步骤:将已登陆的主界面网址复制至浏览器并进行访问;修改步骤:修改SSID。本发明的有益效果是:优化了通信设备测试CSRF攻击的测试步骤,提高了测试方法的易用性及普及性。

Description

路由器抗CSRF攻击的测试方法及系统
技术领域
本发明涉及通信技术领域,尤其涉及路由器抗CSRF攻击的测试方法、装置、系统及存储介质。
背景技术
现市场上无明确的对通信设备类产品的抗CSRF攻击测试方法,对通信类产品的测试步骤不详,针对性差。
发明内容
本发明提供了一种路由器抗CSRF攻击的测试方法,包括:
开启步骤:开启Fiddler抓包工具,登录DUT页面,然后执行抓包查看步骤、主界面步骤、修改步骤;
抓包查看步骤:PC搭建WEB服务器,在已登录状态访问另外一个网页,Fiddler抓包工具抓包查看是否含有referer字段,如果有referer字段,跳到登录页面后需要重新登陆,如果没有referer字段,页面跳转至DUT web主界面;
主界面步骤:将已登陆的主界面网址复制至浏览器并进行访问;
修改步骤:修改SSID。
作为本发明的进一步改进,所述抓包查看步骤包括:
步骤1:PC上搭建WEB服务器,写一个HTTP页面,添加配置路由器的链接;
步骤2:打开Fiddler抓包过滤http报文,PC使用浏览器登录DUT管理页面,同时打开WEB服务器的http页面,点击到路由器的链接;
步骤3:Fiddler抓包工具查看是否含有referer字段,如果有referer字段,执行步骤4,否则返回执行步骤1;
步骤4:判断是否要求重新登录,若是,那么验证成功,否则DUT存在CSRF攻击风险。
作为本发明的进一步改进,在所述主界面步骤中,包括:
步骤S1:输入用户名密码登入main.html主界面,复制此网址,然后退出主界面。
步骤S2:将所复制的main.html网址粘贴至浏览器并访问。
步骤S3:判断是否能够进入主界面,如是,那么验证成功,否则DUT存在CSRF攻击风险。
作为本发明的进一步改进,在所述修改步骤中,包括:
第一步骤:无线设置页面修改SSID值为A。
第二步骤:Fiddler抓包工具断点,修改DUT发送的POST报文SSID值为B,并重新发送此报文。
第三步骤:查看页面SSID值是否为A,如果是则验证成功,否则DUT存在CSRF攻击风险。
本发明还公开了一种路由器抗CSRF攻击的测试装置,包括:
开启单元:用于开启Fiddler抓包工具,登录DUT页面,然后进入抓包查看单元、主界面单元、修改单元。
抓包查看单元:PC搭建WEB服务器,在已登录状态访问另外一个网页,Fiddler抓包工具抓包查看是否含有referer字段,如果有referer字段,跳到登录页面后需要重新登陆,如果没有referer字段,页面跳转至DUT web主界面;
主界面单元:用于将已登陆的主界面网址复制至浏览器并进行访问。
修改单元:用于修改SSID
作为本发明的进一步改进,所述抓包查看单元包括:
添加模块:PC上搭建WEB服务器,写一个HTTP页面,添加配置路由器的链接;
过滤模块:用于打开Fiddler抓包过滤http报文,PC使用浏览器登录DUT管理页面,同时打开WEB服务器的http页面,点击到路由器的链接;
抓包模块:通过Fiddler抓包工具查看是否含有referer字段,如果有referer字段,执行步骤4,否则返回执行步骤1。
登录判断模块:用于判断是否要求重新登录,若是,那么验证成功,否则DUT存在CSRF攻击风险。
作为本发明的进一步改进,在所述主界面单元中,包括:
复制模块:用于输入用户名密码登入main.html主界面,复制此网址,然后退出主界面。
粘贴模块:用于将所复制的main.html网址粘贴至浏览器并访问。
判断模块:用于判断是否能够进入主界面,如是,那么验证成功,否则DUT存在CSRF攻击风险。
作为本发明的进一步改进,在所述修改单元中,包括:
第一修改模块:用于无线设置页面修改SSID值为A;
第二修改模块:用于Fiddler抓包工具断点,修改DUT发送的POST报文SSID值为B,并重新发送此报文;
查看模块:用于查看页面SSID值是否为A,如果是则验证成功,否则DUT存在CSRF攻击风险。
本发明还公开了一种路由器抗CSRF攻击的测试系统,包括:存储器、处理器以及存储在所述存储器上的计算机程序,所述计算机程序配置为由所述处理器调用时实现本发明所述的测试方法的步骤。
本发明还公开了一种计算机可读存储介质,其特征在于:所述计算机可读存储介质存储有计算机程序,所述计算机程序配置为由处理器调用时实现本发明所述的测试方法的步骤。
本发明的有益效果是:本发明的一种路由器抗CSRF攻击的测试方法优化了通信设备测试CSRF攻击的测试步骤,提高了测试方法的易用性及普及性,也提高了通信设备类产品测试人员的测试效率。
附图说明
图1是本发明的CSRF攻击原理图;
图2是本发明的测试拓扑图;
图3是本发明的测试流程图。
具体实施方式
CSRF原理介绍:
CSRF攻击的全称是跨站请求伪造(cross site request forgery),是一种对网站的恶意利用,该攻击可以在受害者毫不知情的情况下以受害者名义伪造请求发送给受攻击站点,从而在并未授权的情况下执行在权限保护之下的操作,有很大的危害性。
如图1所示,具体攻击流程如下:
1.用户打开浏览器,访问受信任网站WebServerA,输入用户名和密码请求登录网站A;
2.在用户信息通过验证后,网站A产生Cookie信息并返回给浏览器,此时用户登录网站A成功,可以正常发送请求到网站A;
3.用户未退出网站A之前,在同一浏览器中,打开一个TAB页访问网站WebServerB;
4.网站B接收到用户请求后,返回一些攻击性代码,并发出一个请求要求访问第三方站点A。
本发明公开了一种路由器抗CSRF攻击的测试方法,该测试方法需进行如下准备:
1.所需设备:
系统 windows
抓包工具 Fiddler
路由器(AP) 待测AP一台
2.在PC上安装Fiddler抓包工具,将待测路由器与PC相连,测试拓扑图如图2所示。
本发明公开了一种路由器抗CSRF攻击的测试方法,包括:
开启步骤:开启Fiddler抓包工具,登录DUT页面,然后执行抓包查看步骤、主界面步骤、修改步骤。
抓包查看步骤:PC搭建WEB服务器,在已登录状态访问另外一个网页,Fiddler抓包工具抓包查看是否含有referer字段,如果有referer字段,跳到登录页面后需要重新登陆,如果没有referer字段,页面跳转至DUT web主界面。
主界面步骤:将已登陆的主界面网址复制至浏览器并进行访问。
修改步骤:修改SSID。
所述抓包查看步骤包括:
步骤1:
使用txt文档写入如下代码,如PC上搭建WEB服务器,写一个HTTP页面,添加配置路由器的链接如http://www.tendawifi.com/goform/telnet。
步骤2:打开Fiddler抓包过滤http报文,PC使用浏览器登录DUT管理页面,同时打开WEB服务器的http页面,点击到路由器的链接。
步骤3:在/goform/telnet报文下,Fiddler抓包工具查看是否含有referer字段,如果有referer字段,执行步骤4,否则返回执行步骤1。
步骤4:判断是否要求重新登录,若是,那么验证成功,否则DUT存在CSRF攻击风险。
在所述主界面步骤中,包括:
步骤S1:输入用户名密码登入main.html主界面,复制此网址,然后退出主界面。在Fiddler抓包工具中选中main.html字段报文,右键Repaly--->Reissue and edit,然后选中这条报文,右键Repaly--->Reissue unconditionally。
步骤S2:将所复制的main.html网址粘贴至浏览器并访问。
步骤S3:判断是否能够进入主界面,如是,那么验证成功,否则DUT存在CSRF攻击风险。
(备注:使用工具重新发送已使用过的报文,达到伪装用户,修改设备配置的目的。)
在所述修改步骤中,包括:
第一步骤:无线设置页面修改SSID值为A;
第二步骤:Fiddler抓包工具断点,修改DUT发送的POST报文SSID值为B,并重新发送此报文;具体操作如下:
1.找到类似于/goform/wifiBasicSet的POST报文,右侧上方选中Textview标签。
2.键Repaly--->Reissue and edit,修改textview中的SSID和密码。
3.然后选中这条报文,右键Repaly--->Reissue unconditionally。
第三步骤:查看页面SSID值是否为A,如果是则验证成功,否则DUT存在CSRF攻击风险。
(备注:所有的表单提交包括CGI接口都需要校验CSRF token,token异常应清除会话,对客户端提交的表单请求进行合法性校验。)
本发明的一种路由器抗CSRF攻击的测试方法用于验证通信设备类产品抗CSRF攻击能力。本发明的一种路由器抗CSRF攻击的测试方法可广泛应用于AP、DSL、交换机等通信类产品的抗CSRF攻击能力验证,用以检测抗CSRF攻击,以提高网络通信产品的WEB页面安全性。
本发明还公开了一种路由器抗CSRF攻击的测试装置,包括:
开启单元:用于开启Fiddler抓包工具,登录DUT页面,然后进入抓包查看单元、主界面单元、修改单元。
抓包查看单元:PC搭建WEB服务器,在已登录状态访问另外一个网页,Fiddler抓包工具抓包查看是否含有referer字段,如果有referer字段,跳到登录页面后需要重新登陆,如果没有referer字段,页面跳转至DUT web主界面;
主界面单元:用于将已登陆的主界面网址复制至浏览器并进行访问。
修改单元:用于修改SSID。
所述抓包查看单元包括:
添加模块:
使用txt文档写入如下代码,如PC上搭建WEB服务器,写一个HTTP页面,添加配置路由器的链接如http://www.tendawifi.com/goform/telnet;
过滤模块:用于打开Fiddler抓包过滤http报文,PC使用浏览器登录DUT管理页面,同时打开WEB服务器的http页面,点击到路由器的链接;
抓包模块:通过在/goform/telnet报文下,Fiddler抓包工具查看是否含有referer字段,如果有referer字段,执行步骤4,否则返回执行步骤1;
登录判断模块:用于判断是否要求重新登录,若是,那么验证成功,否则DUT存在CSRF攻击风险。
在所述主界面单元中,包括:
复制模块:用于输入用户名密码登入main.html主界面,复制此网址,然后退出主界面;
粘贴模块:用于将所复制的main.html网址粘贴至浏览器并访问;
判断模块:用于判断是否能够进入主界面,如是,那么验证成功,否则DUT存在CSRF攻击风险。
在所述修改单元中,包括:
第一修改模块:用于无线设置页面修改SSID值为A;
第二修改模块:用于Fiddler抓包工具断点,修改DUT发送的POST报文SSID值为B,并重新发送此报文;
查看模块:用于查看页面SSID值是否为A,如果是则验证成功,否则DUT存在CSRF攻击风险。
本发明还公开了一种路由器抗CSRF攻击的测试系统,包括:存储器、处理器以及存储在所述存储器上的计算机程序,所述计算机程序配置为由所述处理器调用时本发明所述的测试方法的步骤。
本发明还公开了一种计算机可读存储介质,所述计算机可读存储介质存储有计算机程序,所述计算机程序配置为由处理器调用时实现本发明所述的测试方法的步骤。
本发明的有益效果:本发明的一种路由器抗CSRF攻击的测试方法优化了通信设备测试CSRF攻击的测试步骤,提高了测试方法的易用性及普及性,也提高了通信设备类产品测试人员的测试效率。
以上内容是结合具体的优选实施方式对本发明所作的进一步详细说明,不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说,在不脱离本发明构思的前提下,还可以做出若干简单推演或替换,都应当视为属于本发明的保护范围。

Claims (10)

1.一种路由器抗CSRF攻击的测试方法,其特征在于,包括:
开启步骤:开启Fiddler抓包工具,登录DUT页面,然后执行抓包查看步骤、主界面步骤、修改步骤;
抓包查看步骤:PC搭建WEB服务器,在已登录状态访问另外一个网页,Fiddler抓包工具抓包查看是否含有referer字段,如果有referer字段,跳到登录页面后需要重新登陆,如果没有referer字段,页面跳转至DUT web主界面;
主界面步骤:将已登陆的主界面网址复制至浏览器并进行访问;
修改步骤:修改SSID。
2.根据权利要求1所述的测试方法,其特征在于,所述抓包查看步骤包括:
步骤1:PC上搭建WEB服务器,写一个HTTP页面,添加配置路由器的链接;
步骤2:打开Fiddler抓包过滤http报文,PC使用浏览器登录DUT管理页面,同时打开WEB服务器的http页面,点击到路由器的链接;
步骤3:Fiddler抓包工具查看是否含有referer字段,如果有referer字段,执行步骤4,否则返回执行步骤1;
步骤4:判断是否要求重新登录,若是,那么验证成功,否则DUT存在CSRF攻击风险。
3.根据权利要求1所述的测试方法,其特征在于,在所述主界面步骤中,包括:
步骤S1:输入用户名密码登入main.html主界面,复制此网址,然后退出主界面;
步骤S2:将所复制的main.html网址粘贴至浏览器并访问;
步骤S3:判断是否能够进入主界面,如是,那么验证成功,否则DUT存在CSRF攻击风险。
4.根据权利要求1所述的测试方法,其特征在于,在所述修改步骤中,包括:
第一步骤:无线设置页面修改SSID值为A;
第二步骤:Fiddler抓包工具断点,修改DUT发送的POST报文SSID值为B,并重新发送此报文;
第三步骤:查看页面SSID值是否为A,如果是则验证成功,否则DUT存在CSRF攻击风险。
5.一种路由器抗CSRF攻击的测试装置,其特征在于,包括:
开启单元:用于开启Fiddler抓包工具,登录DUT页面,然后进入抓包查看单元、主界面单元、修改单元;
抓包查看单元:PC搭建WEB服务器,在已登录状态访问另外一个网页,Fiddler抓包工具抓包查看是否含有referer字段,如果有referer字段,跳到登录页面后需要重新登陆,如果没有referer字段,页面跳转至DUT web主界面;
主界面单元:用于将已登陆的主界面网址复制至浏览器并进行访问;
修改单元:用于修改SSID。
6.根据权利要求5所述的测试装置,其特征在于,所述抓包查看单元包括:
添加模块:PC上搭建WEB服务器,写一个HTTP页面,添加配置路由器的链接;
过滤模块:用于打开Fiddler抓包过滤http报文,PC使用浏览器登录DUT管理页面,同时打开WEB服务器的http页面,点击到路由器的链接;
抓包模块:通过Fiddler抓包工具查看是否含有referer字段,如果有referer字段,执行步骤4,否则返回执行步骤1;
登录判断模块:用于判断是否要求重新登录,若是,那么验证成功,否则DUT存在CSRF攻击风险。
7.根据权利要求5所述的测试装置,其特征在于,在所述主界面单元中,包括:
复制模块:用于输入用户名密码登入main.html主界面,复制此网址,然后退出主界面;
粘贴模块:用于将所复制的main.html网址粘贴至浏览器并访问;
判断模块:用于判断是否能够进入主界面,如是,那么验证成功,否则DUT存在CSRF攻击风险。
8.根据权利要求5所述的测试装置,其特征在于,在所述修改单元中,包括:
第一修改模块:用于无线设置页面修改SSID值为A;
第二修改模块:用于Fiddler抓包工具断点,修改DUT发送的POST报文SSID值为B,并重新发送此报文;
查看模块:用于查看页面SSID值是否为A,如果是则验证成功,否则DUT存在CSRF攻击风险。
9.一种路由器抗CSRF攻击的测试系统,其特征在于,包括:存储器、处理器以及存储在所述存储器上的计算机程序,所述计算机程序配置为由所述处理器调用时实现权利要求1-4中任一项所述的测试方法的步骤。
10.一种计算机可读存储介质,其特征在于:所述计算机可读存储介质存储有计算机程序,所述计算机程序配置为由处理器调用时实现权利要求1-4中任一项所述的测试方法的步骤。
CN202011534570.0A 2020-12-22 2020-12-22 路由器抗csrf攻击的测试方法及系统 Pending CN112668001A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011534570.0A CN112668001A (zh) 2020-12-22 2020-12-22 路由器抗csrf攻击的测试方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011534570.0A CN112668001A (zh) 2020-12-22 2020-12-22 路由器抗csrf攻击的测试方法及系统

Publications (1)

Publication Number Publication Date
CN112668001A true CN112668001A (zh) 2021-04-16

Family

ID=75407998

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011534570.0A Pending CN112668001A (zh) 2020-12-22 2020-12-22 路由器抗csrf攻击的测试方法及系统

Country Status (1)

Country Link
CN (1) CN112668001A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114039899A (zh) * 2021-10-19 2022-02-11 浙江中控技术股份有限公司 基于Fiddler工具实现WEB化产品的网络性能测试的方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090158430A1 (en) * 2005-10-21 2009-06-18 Borders Kevin R Method, system and computer program product for detecting at least one of security threats and undesirable computer files
US8893270B1 (en) * 2008-01-29 2014-11-18 Trend Micro Incorporated Detection of cross-site request forgery attacks
US20170149803A1 (en) * 2015-11-20 2017-05-25 International Business Machines Corporation Guarding against cross-site request forgery (CSRF) attacks
CN107634967A (zh) * 2017-10-19 2018-01-26 南京大学 一种CSRF攻击的CSRFToken防御系统和方法
CN108197467A (zh) * 2018-01-11 2018-06-22 郑州云海信息技术有限公司 一种csrf漏洞的自动化检测方法及系统
CN110851838A (zh) * 2019-11-11 2020-02-28 广东电网有限责任公司 一种基于互联网的云测试系统及安全测试方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090158430A1 (en) * 2005-10-21 2009-06-18 Borders Kevin R Method, system and computer program product for detecting at least one of security threats and undesirable computer files
US8893270B1 (en) * 2008-01-29 2014-11-18 Trend Micro Incorporated Detection of cross-site request forgery attacks
US20170149803A1 (en) * 2015-11-20 2017-05-25 International Business Machines Corporation Guarding against cross-site request forgery (CSRF) attacks
CN107634967A (zh) * 2017-10-19 2018-01-26 南京大学 一种CSRF攻击的CSRFToken防御系统和方法
CN108197467A (zh) * 2018-01-11 2018-06-22 郑州云海信息技术有限公司 一种csrf漏洞的自动化检测方法及系统
CN110851838A (zh) * 2019-11-11 2020-02-28 广东电网有限责任公司 一种基于互联网的云测试系统及安全测试方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
栗国斌: "基于灰盒测试的Web应用程序安全漏洞检测", 基于灰盒测试的WEB应用程序安全漏洞检测, no. 2, 15 December 2013 (2013-12-15), pages 13 - 42 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114039899A (zh) * 2021-10-19 2022-02-11 浙江中控技术股份有限公司 基于Fiddler工具实现WEB化产品的网络性能测试的方法
CN114039899B (zh) * 2021-10-19 2023-08-15 浙江中控技术股份有限公司 基于Fiddler工具实现WEB化产品的网络性能测试的方法

Similar Documents

Publication Publication Date Title
US8219496B2 (en) Method of and apparatus for ascertaining the status of a data processing environment
KR101890272B1 (ko) 보안이벤트 자동 검증 방법 및 장치
EP1999609B1 (en) Client side attack resistant phishing detection
KR101095447B1 (ko) 분산 서비스 거부 공격 차단 장치 및 방법
RU2755675C2 (ru) Выявление факторов уязвимости безопасности в программных интерфейсах приложения
CN110266642A (zh) 身份认证方法及服务器、电子设备
CN107623698A (zh) 远程调试网络设备方法和装置
CN110557358A (zh) 蜜罐服务器通信方法、SSLStrip中间人攻击感知方法及相关装置
CN110768951B (zh) 验证系统漏洞的方法及装置、存储介质、电子装置
Maksutov et al. Detection and prevention of DNS spoofing attacks
CN105871881A (zh) 一种基于Openwrt路由器的Portal认证的方法
CN112668001A (zh) 路由器抗csrf攻击的测试方法及系统
Zhou et al. Verify results of network intrusion alerts using lightweight protocol analysis
CN108566394A (zh) 一种信息处理方法及装置
JP4052007B2 (ja) Webサイト安全度認証システム、方法及びプログラム
Mirdula et al. Security vulnerabilities in web application-An attack perspective
KR101606088B1 (ko) 악성 코드 탐지 방법 및 장치
CN112929388A (zh) 网络身份跨设备应用快速认证方法和系统、用户代理设备
CN108600209A (zh) 一种信息处理方法及装置
KR100805316B1 (ko) 명령어 코드 통제리스트 기반의 웹 서비스 보안시스템 및그 방법
JP7472997B2 (ja) 試験装置、試験方法および試験プログラム
CN117544960B (zh) 一种基于生成的自动化Wi-Fi协议模糊测试方法
CN110519257B (zh) 一种网络信息的处理方法及装置
US20230319028A1 (en) Smart verification of authentication for user log ins based on risk levels
CN107682371A (zh) 一种恶意ap的检测方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination