0

我用 Fiddler 抓取了以下 Post 请求，我只屏蔽了 URL，因为我不想做广告

POST http://xyz.com/dialogs/track HTTP/1.1
Host: www.xyz.com
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:10.0) Gecko/20100101 Firefox/10.0
Accept: application/json, text/javascript, */*; q=0.01
Accept-Language: de
Accept-Encoding: gzip, deflate
DNT: 1
Content-Type: application/json; charset=utf-8
X-CSRFToken: uuihXszJrkrXwnCkLKKDNQ8BrPRDqXvU
X-Requested-With: XMLHttpRequest
Referer: http://www.xyz.com/referer/
Content-Length: 2
Cookie: csrftoken=uuihXszJrkrXwnCkLKKDNQ8BrPRDqXvU
Connection: keep-alive
Pragma: no-cache
Cache-Control: no-cache

{}

我需要一个教程（链接很有用）来用 Curl “伪造”这个请求，我在 Google 上找到了一些东西，但没有任何工作，我收到错误。

-编辑-

$headers = array(
'POST http://www.example.com/dialogs/track HTTP/1.1',
'Host: www.example.com',
'User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:10.0) Gecko/20100101 Firefox/10.0',
'Accept: application/json, text/javascript, */*; q=0.01',
'Accept-Language: de',
'Accept-Encoding: gzip, deflate',
'DNT: 1',
'Content-Type: application/json; charset=utf-8',
'X-CSRFToken: uuihXszJrkrXwnCkLKKDNQ8BrPRDqXvU',
'X-Requested-With: XMLHttpRequest',
'Referer: http://www.example.com',
'Content-Length: 2',
'Cookie: __cfduid=d0db16cb5c4c58db770a1374f09a61d7d1375100590810; csrftoken=uuihXszJrkrXwnCkLKKDNQ8BrPRDqXvU; __utma=1.2111538523.1375265099.1375427020.1375431064.5; __utmz=1.1375348556.2.2.utmcsr=example.de|utmccn=(referral)|utmcmd=referral|utmcct=/game/index.php; __gads=ID=88f0a0a8b0698e1e:T=1375265099:S=ALNI_MYX8OxkwPxXQd7VY4qDImLK7fq_yQ; __utmb=1.4.9.1375431089319; __utmc=1',
'Connection: keep-alive',
'Pragma: no-cache',
'Cache-Control: no-cache',
'',
'{}'
);



//set POST variables
$url = 'http://www.example.com/dialogs/track';

//open connection
$ch = curl_init();

//set the url, number of POST vars, POST data
curl_setopt($ch,CURLOPT_URL, $url);
curl_setopt($ch,CURLOPT_HTTPHEADER, $headers);


//execute post
$result = curl_exec($ch);

//close connection
if (curl_error($ch)) {
print "Error: " . curl_error($ch);
}
else
{
var_dump($data);
curl_close($ch);
}

错误信息

错误：接收失败：对等方重置连接

-编辑2-

我玩了一点，现在连接正常，但似乎 CSRF 令牌未正确提交，我收到一个错误！

禁止 (403)

CSRF 验证失败。请求中止。

他们是一个解决方案吗？

4

1 回答 1

0

你的失踪：

curl_setopt($ch, CURLOPT_POST, true);

我认为您的问题不在于验证的工作Curl方式，而在于CSRF验证的工作方式。

假设向服务器发出请求，服务器设置会话（基本上是 cookie 中的字符串，用于识别服务器上的数据）。然后，您将该数据发布回服务器，服务器将CSRF令牌与SESSION链接到COOKIE您也发回的令牌进行比较。

您请求中只有一个可能的会话 cookie - csrftoken（其他属于 google 和 cloudflare）。

这意味着 CSRF Token 和 Session Identifier ( csrftokenvalue) 完全相同，即uuihXszJrkrXwnCkLKKDNQ8BrPRDqXvUCSRF 验证不是这样工作的。

您需要在GET返回响应时获取会话 cookie 和 CSRF 令牌，并在您发出请求时将它们都发回，一个作为COOKIE值，另一个作为POST值（可能是 2 个标头值，但有 2 个不同的值）POST。

于 2015-03-02T23:07:00.943 回答