问POST方法抗CSRF对Burp套件的帮助

EN

这是我最终选择的路线，多亏了https://www.youtube.com/watch?v=GWLMmkv3z38的视频：

1. 标识反CSRF令牌(例如表单中隐藏的csrf_token字段)
2. 转到“项目选项”>“会话”>“添加”以记录新的宏。
3. 在Macro Recorder中，从代理历史记录中选择HTTP请求，然后单击"OK“。
4. 选择宏项并点击配置项。
5. 在右下角，添加自定义参数，突出显示将提取用作反CSRF令牌的字符串。“定义开始和结束”字段应该使用适当的搜索条件进行更新。填充“参数名称”字段，并使用类似csrf-令牌的描述。
6. 添加会话处理规则。
7. 从下拉列表中添加规则操作(运行宏)。
8. 选择与最终宏response.匹配的参数更新当前请求，选择只更新以下参数并输入参数的名称，例如authentication_token。
9. 最后，单击会话处理规则编辑器中的Scope选项卡，并将范围配置为所需的Burp工具、参数和作用域URL。

我在这个问题上花的时间比我想的要多，所以我希望这能帮助人们减轻一些痛苦；如果还不清楚，请告诉我，我会尽力填补这些空白。

听起来你说得对。没有比你链接的那个更详细的教程了。

为了帮助你诊断出哪里出了问题，打开会话跟踪器。另外，向具有真实性令牌的Repeater发送请求。您想看到的是，当您按Go in Repeater时，会话处理规则将激活，运行一个宏来获取一个新的令牌，并在Repeater中更新请求。确切地知道这其中的哪一部分不起作用，应该有助于您修复它。

由于令牌位于元标记中，因此需要使用自定义参数位置。在“宏编辑器”中，单击“配置项”，然后添加自定义参数位置。

或者，使用Burp 2，它应该自动处理这一问题。