在赵南北绞尽脑汁的突破跳板攻击时，技术部经历了一场巨大流量的攻击。
早餐时间，赵南北在食堂吃着生煎，喝着豆浆。
听着技术部工作人员的闲聊。
“昨天的流量是真的大呀！1.26tb，相当于67万台电脑同时攻击服务器！”一名员工声情并茂的描述攻击事件。
“这就是信息的鸿沟呀！在同一个楼里面！他们在五层，我在一层。居然一点消息都不知道！”赵南北仔细地听着他们的对话。
“浪潮服务器，抗住了前期攻击！没有出现宕机！国货值得信赖！”技术部的员工继续说道。
“关键时刻还是陈经理有胆识，直接将来自攻击区域的流量重置到米国国防部网站了！直接攻击了米国的服务器了！哈哈”另一名技术部的员工说道。
“不知道是否会引发外交纠纷呀？”
“这不是咱们996考虑的事情了。只要陈经理还领导技术部，咱们的工作就能轻松些，收入也能有保证。”
那几个技术人员吃完了早餐，就离开了食堂。
“看来，这个陈经理还是有些本事的！”赵南北对陈高明有了一些更深刻的认知。
“年薪1000万！当然有本事了！”赵南北突然想到陈高明的年收入后，就表现出了羡慕的表情。
吃完早饭后，稍事休息，赵南北回到了一楼的计算机室。
在座位上打开电脑，进入破解csrf环节。
随着人员不断的进入计算机室，关于昨天技术部防御住ddos的消息开始传播开来。
细节也被纰漏出来了。
昨天下午开始，互联网上开始传播一条消息。
“今天是‘大砍刀’平台创始人的生日。”
“为了答谢广大用户，‘大砍刀’平台将在今晚8点开始发放总金额100亿元的红包。”
“总计10万名用户，每名幸运用户获得10万元！”
消息如同病毒一样在各大社交媒体，qq群，微信中疯狂传播。
“‘大砍刀’我的爱！”网友对平台的好感度直线上升。
大砍刀平台也注意到了，这条消息。
并且在微博上面进行了简短回应。
否定了关于今天发放红包的消息，并且提醒广大用户注意防骗。
但是人们只相信对自己有利的内容。
10万元钱还是能解决大部分人的问题的。
随着晚上8点的到来，网站服务器的流量开始出现较大的上涨。
技术部的员工及时将出现的情况通知了经理，陈高明。
陈高明没有大意，立刻在主控室布置了任务。
“只有千日做贼，没有千日防贼。今天贼来了！”陈高明面对即将到来的险情，发表了豪迈的誓词。
“55,56,57,58,59,8:00！”墙上的电子钟在晚上的8点时，进行了播报。
与此同时，网站的访问量直线上升，1分钟内突破200g。
“快！将网站分辨路降到最低！”陈高明下达了命令。
“图片分辨率已经降为72！视频降为360p！”技术部的一名工作人员回答道。
“好！”
2分钟的时候，服务器的访问量飙升到了300g！
屏幕上关于服务器的温度突破了60度，噪音突破了45分贝。
服务器的风扇开始全名启动了。
“浪潮你要挺住呀！”陈高明的内心开始有了一些波澜。
陈高明是参加过中美黑客大战的。
“五一”百万红客攻破白房服务器，将国旗放在了放在了米国政府的网站上。
米国政府网站采取应急手段，关闭访问8个小时。
一时间中美黑客大战，登上了各大媒体的头条。
自此以后陈高明在选购电子产品时，开始关注产品的出产地，尽量购买国产的品牌。
“流量快速上升了！突破400g了！”
3分钟的时候，流量达到了外界猜测“大砍刀”平台硬件防御的上限。
“开启备用的硬件服务器！”陈高明语速缓慢地命令。
随着备用服务器的开启，平台防范ddos的能力提高到1t。
“流量达到了500g！”
“对手有些本事呀！”
陈高明开始有些紧张了。
4分钟达到了800g！
一些地区访问平台的时候，出现了卡顿现象。
各地的用户将自己登录时出现的403页面发到了微博上。
导致更多的用户确信，平台发红包的事实。
更多的用户加入到抢红包的行动。
5分钟达到1t！
用户登录平台时，返回的是500页面！
之后的三分钟，“大砍刀”平台的服务器变单机。
“高明兄！任你本领高超，也要低头认输！”临安厂房内的眼睛男一扫过去的颓废之气。
“将大流量区域的访问ip转到米国国防部的网站！”陈高明冰冷地下达了命令。
但是控制室变得异常的安静。
“陈经理，这样做会引起外交纠纷呀！”一名工作人员提醒陈高明。
“你们照我说的做！出了事情，我负责！”陈高明继续说道。
“将大流量区域的访问ip转到米国国防部的网站！”工作人员又重复了陈高明的命令。
流量开始下降，用户可以正常访问了。
“网页又能够正常访问了！”临安厂房内的工作人员回复到。
“查询一下，终端的访问地址是哪里？”眼睛男没有任何焦虑的表情。
“是米国！米国国防部！”
“高明兄，终究还是个愤青呀！”眼睛男瞬间回想起过去的一些事情。
“停止攻击！我们的成绩，已经达到老板的要求了！”
晚上8点开始的较量，在7分钟内经历了巅峰对决，之后重归平静。
“网站的流量恢复到300g了！”技术部的工作人员终于把心放到了肚子里面了。
恍惚间赵南北好似在现场一样，与技术部的工作人员一同与黑客斗争。
赵南北感到一种奇异的力量拉他向前，身体却像被无形的绳子捆绑住，无法动弹。
他的心开始疾跳，仿佛要跳出胸膛。他试着张口说话，却发现自己连声音都发不出来。
他眼睁睁地看着自己出现在一个陌生的地方，四周一片混乱，无数电脑屏幕闪烁着，数字和代码在屏幕上飞快的流动。
他看到技术部的工作人员在紧张地操作着键盘，脸上的神情紧绷。他们身上散发出一种和专业精神相符的坚定和执着。
黑客们在一旁虎视眈眈，他们脸上带着冷笑，眼中闪烁着挑衅的光芒。他们身前的电脑屏幕上的代码飞快地流动，就像一只只黑色的怪兽，准备吞噬一切。
赵南北心中充满了焦虑，他看着一切，感觉自己仿佛被吸入这个漩涡中，无法自拔。他开始感到惊慌，这种陌生的感觉让他感到无比地恐惧。
然而，他看到技术部的工作人员们没有放弃，他们依然在努力地抵抗，如同在战场上一样，不畏艰险，不惧威胁。他们的眼神坚定，他们的手指在键盘上飞舞，他们的汗水在灯光下闪烁。
赵南北被他们的决心所感染，他开始冷静下来，开始思考。他知道，他不能被这种恐惧所控制，他需要行动，他需要帮助。
他开始观察黑客们的行为，试图找出他们的规律。
他发现，虽然黑客们的代码如同狡猾的蛇一般快速流动，但它们之间却有着微妙的规律。他开始根据这些规律来组织自己的行动。
他的手指开始在键盘上飞舞，一行的代码如同他的心情一样，快速而坚定。他开始意识到自己掌握了黑客们的节奏，他开始反击。
时间在一分一秒的过去，赵南北的心脏在剧烈的跳动。
他的精神高度的集中，他的眼睛死死的盯着屏幕，他的手指在键盘上飞快地移动。
终于，他看到了黑客们的代码开始出现破绽，他看到了技术部的工作人员们的攻势开始奏效。他的心中充满了喜悦，他知道，他们成功了。
当他再次睁开眼睛的时候，他发现自己已经回到了现实世界。
他的身体不再被束缚，他的声音也回来了。
他看到技术部的工作人员们开始庆祝，他们的笑容在灯光下闪烁，他们的眼中充满了疲惫但是满足的光芒。
赵南北的心中充满了感激，他知道，如果不是因为他们，他可能会迷失在那个虚拟的世界中。
他感谢他们的帮助，感谢他们的勇气和决心。
他知道，这个经历会让他变得更强大，更勇敢。
他知道，在未来的日子里，他要用这样的勇气和决心，去面对更多的挑战，去战胜更多的困难。
他看着远方，心中充满了希望和决心。
他知道，他的未来还在前方等待着他，他要勇敢地去追求，去实现。他知道，这是一个新的开始，这是一个新的旅程。
“不在其位，不谋其政！”赵南北开始自己的闯关。
跨站请求伪造是一种网络安全攻击，攻击者通过诱导用户访问一个第三方网站，然后利用用户在该网站上的登录状态，向被攻击网站发送一个伪造的跨站请求。这种攻击能够绕过后台的用户验证，让攻击者以用户的身份对被攻击网站执行某些操作。
下面是跳板攻击的基本过程：
1. 用户在浏览器中打开了一个被攻击的网站（F），并且在该网站上登录成功。
2. 用户在不退出网站F的情况下，被诱导访问一个第三方网站（E）。
3. 网站b向被攻击的网站F发送一个跨站请求，这个请求可能会包含一些特殊的参数和标记。
4. 被攻击的网站F会认为这个请求是用户自己发起的，因此会根据请求的内容进行操作。
5. 由于攻击者能够利用用户在网站F中保存的登录状态，所以他们可以以用户的身份对网站A进行各种操作，例如修改用户信息、发起交易等。
(change password)
change your password.
New password:
Re-type new password:
change
＜?php
if( isset( $_GEt[ \\u0027change\\u0027 ] ) ) {
\/\/ Get input
\/\/获取两个输入框的密码
$pass_new \\u003d $_GEt[ \\u0027password_new\\u0027 ];
$pass_conf \\u003d $_GEt[ \\u0027password_conf\\u0027 ];
\/\/ do the passwords match?
\/\/查看两次输入的是否一致
if( $pass_new \\u003d\\u003d $pass_conf ) {
\/\/ they do!
\/\/如果一致就直接插入数据库
$pass_new \\u003d ((isset($GLobALS[\\\"___mysqli_ston\\\"]) \\u0026\\u0026 is_object($GLobALS[\\\"___mysqli_ston\\\"])) ? mysqli_real_escape_string($GLobALS[\\\"___mysqli_ston\\\"], $pass_new ) : ((trigger_error(\\\"[mySqLconvertertoo] Fix the mysql_escape_string call! this code does not work.\\\", E_USER_ERRoR)) ? \\\"\\\" : \\\"\\\"));
$pass_new \\u003d md5( $pass_new );
\/\/ Update the database
$insert \\u003d \\\"UpdAtE `users` SEt password \\u003d ’＄pass_new\\u0027 whERE user \\u003d ’” . dvwacurrentUser . ”’；”；
$result \\u003d mysqli_query($GLobALS[\\\"___mysqli_ston\\\"], $insert ) or die( \\u0027＜pre＞\\u0027 . ((is_object($GLobALS[\\\"___mysqli_ston\\\"])) ? mysqli_error($GLobALS[\\\"___mysqli_ston\\\"]) : (($___mysqli_res \\u003d mysqli_connect_error) ? $___mysqli_res : false)) . \\u0027＜\/pre＞\\u0027 );
\/\/ Feedback for the user
echo ”＜pre＞password changed.＜\/pre＞”；
}
else {
\/\/ Issue with passwords matching
echo ”＜pre＞passwords did not match.＜\/pre＞”；
}
((is_null($___mysqli_res \\u003d mysqli_close($GLobALS[\\\"___mysqli_ston\\\"]))) ? false : $___mysqli_res);
｝
？＞
通过GEt方式获取两次密码，两次密码输入一致的话，就可以直接带入数据中修改密码。
漏洞复现
（1）先来做个尝试，将密码改成，两次都输入，发现直接修改成功了
（2）测试一下密码，先测试一下原来的密码（原来的密码就是你登录dVwA的密码）
原来的密码很明显已经不行了，接下来试一下
（3）经过上面的尝试发现可以成功修改账号密码，而且我们发现了URL那里的变化，接下来我们从URL处入手再改一下，首先先重置一下数据库，把密码改回来。
在 c：\\\\phpstudy_pro\\\\ 文件夹中建立一个 1.html ，里面写入
＜img src\\u003d\\\"#\\\" border\\u003d\\\"0\\\" style\\u003d\\\"display:none;\\\"\/＞
＜h1＞404＜h1＞
＜h2＞file not found.＜h2＞
这样的话，当我们打开 1.html 文件的时候，密码就会被修改成，（诱骗受害者点击这个1.html文件）
赵南北回忆起了，在大学时关于csrf的往事。
期末考试之后，老乡会的会长找到他。
让他帮忙改写期末考试的成绩。
老乡会会长，在考试的前一天出去网吧通宵，第二天考试头脑发昏。
迷迷糊糊的写完了考试的卷子，肯定是要挂科的。
“南北，你一定要帮助我呀！下学期发励志奖学金，分你一半！”老乡会会长表现出了极大的诚意。
看在钱的面子上，赵南北只是答应试一下，不保证会成功。
作为一名黑客，在行动之前需要做的是隐藏自己。
赵南北带着电脑和无线网卡来到了，火车站附近的公园。
打开笔记本电脑，插上无线网卡。
打开虚拟机，进入kail linux。
搜索附近的无线信号。
chengxinlvdian1:；
chengxinlvdian2；
看到了两个旅店的无线信号。
“就是用它们了！”赵南北确定了目标。
在kail linux系统里面，打开字典，wpa破解软件。
之后wpa破解软件开始穷举密码。
页面预计时间是90分钟。
笔记本电脑的电池可以支撑120分钟。
“这次只能先破解信号，下次再入侵校园系统。”
等待的时间是漫长的，看着眼前的火车站，想到了刚来上大学的自己。
在火车站附近，一片繁华的景象呈现在眼前。
无论白天还是夜晚，这里的熙熙攘攘的人群始终不断。
火车站的周围，林立的高楼大厦犹如巨大的守护者，俯视着这片繁忙的区域。霓虹灯在夜幕降临时开始闪烁，照亮了高楼的外墙，使火车站仿佛被一层金光闪闪的光环环绕。大楼内，各种国际知名品牌、当地特色商店以及餐饮店应有尽有，吸引了众多游客和当地人。
在火车站的正面，有一个巨大的广场，永远充满了活动和喧嚣。
孩子们在喷泉中嬉戏，成年人则在长椅上休息，而商人们在广场上摆摊，贩卖各种商品。这个广场就像一个微型的社区，人们在这里交流、互动，形成了一个个小型的社交圈子。
火车站的入口是一个巨大的玻璃穹顶，火车的轰鸣声和人们的交谈声在穹顶下回荡。从穹顶向外望去，可以看到火车飞驰而过，空气中弥漫着煤烟和金属的气味。
这个场景的热闹和混乱，让人感到生活的活力和多样性。
在火车站附近，繁华与混乱交织在一起，形成了一幅独特的画卷。
这里是旅人的天堂，也是城市的生活缩影。无论是刚刚踏上这片土地的旅人，还是即将离开这个城市的乘客，都会被这里的繁华景象所吸引，留下深刻的印象。
赵南北和父母乘火车来到学校所在的城市。
刚下火车，没有仔细观察这座陌生的城市，就匆匆的坐上出租车前往学校。
这以后也就是，放假时会到火车站乘车回家。
大二以后，赵南北凭借自己掌握的技术，建了个网站投放的广告，有了一些收入。
远途出行，开始坐飞机了。
火车站，也就只是地图上的一个标志而已。
今天再次来到火车站，属于故地重游。
是两种选择的开始，是对未来道路的选择。
电脑显示密码已经破解出来了。
“chengxin”.
连接信号登录密码，登录成功。
笔记本电脑的左下角，显示电量还有15分钟。
赵南北收起电脑，开始返回学校。
第二天下午，赵南北又来到了火车站附近的区域。
打开笔记本电脑，连接wiff。
测网速，50m\/s.
输入学校的教务系统。
尝试sql注入。
在用户登录界面输入1111’or 1’1#
没有反应。
输入 ‘ order by 20 #
没有反应。
“没有注入漏洞！”
只有采用钓鱼的方式重置密码。
老乡会的会长，将任课老师的邮箱告诉了赵南北。
赵南北以教务处的名义，向任课老师发送了一份，个人下学期任课信息登记的表格。
“小学期任课信息登记.html”。作为附件，放在邮件的末尾。
随后发送了出去。
剩下的事件就是等待了。
等待是漫长的，每隔一个小时赵南北就用登录教务系统。
显示的是密码错误。
3个小时以后，赵南北不能在等了。
电话联系了老乡会会长，让他给老师打个电话，说明自己感冒了，导致考场发挥失常，并且已经将病历图片发到了老师的邮箱。以恳切的语气，请求能够给个及格分，随便了解一下分数是否已经登录了教务系统。
老乡会会长，圆满的完成了赵南北交代的任务。
老师登录了邮箱，看到了病历图片。
但是成绩已经登录完了，老师让老乡会会长等着成绩的发布。
只要任课老师登录邮箱，就能看到以教务的名义。
又等了30分钟，赵南北双手合十向知道的一切什么祈福。
“佛主，玉皇大帝，观世音菩萨，一切神灵，一定要成功呀！”
继续用登录教务系统，成功了。
找到相应的考试科目，老乡会会长的名字。
“查！45分！没我你就得挂。改成70分！”赵南北自言自语道。
“只改一个分数，有点不划算呀！”赵南北又给老乡会会长打了电话。
将情况又讲了一下，是否需要该其他人的成绩。
老乡会会长，随即说了几个名字，将挂科的都改为及格。
赵南北按照要求又改了几个人的成绩。
“一切都ok了！”此时天色已经全黑了。
公布成绩了，老乡会会长的几个人都顺利通过。
在电话中对赵南北的感激之情，溢于言表。
假期结束，开学的第二个月，老乡会会长给赵南北送来了答应的诚意。
陈高明在入职“大砍刀”后，发现平台存在横跳攻击漏洞，这让他感到十分担忧。
横跳攻击是一种常见的网络安全漏洞，攻击者可以利用该漏洞诱导用户执行某些操作，从而实现对用户的攻击。
在“大砍刀”平台上，跳板攻击漏洞的存在会让黑客有机可乘，用户的个人信息和数据安全将受到严重威胁。
陈高明决定立即向公司汇报这个问题，他向领导和安全团队详细介绍了该漏洞的危害性，并提出了解决的建议。
公司领导和安全团队非常重视这个问题，他们立即组织了专门的团队来修复该漏洞。
经过努力，他们成功地修复了该漏洞，并进行了全面的安全检测和测试，确保平台的安全性得到了提升。
陈高明创新的提出了，在修改密码时，要向密保邮箱发送确认修改的链接。
这将极大的降低跳板攻击的成功概率。
在修复该漏洞的过程中，陈高明表现出了出色的安全意识和技能，公司领导对他进行了表彰和奖励。
同时，公司也加强了对安全问题的管理和培训，确保员工都能够及时发现和解决安全问题，为用户提供更加安全、可靠的服务。
陈高明的行动不仅保障了“大砍刀”平台的安全性，也为公司树立了良好的安全形象，让用户更加信任和依赖平台的服务。
横跳攻击的核心是利用了浏览器的同源策略（Same-origin policy），这个策略原本是为了保护用户安全而设计的。然而，攻击者能够诱导用户访问一些看似与被攻击网站相同或受信任的网站，从而绕过同源策略的限制。
为了避免横跳攻击，可以采取以下措施：
1. 提醒用户不要轻易点击来自不可信来源的链接或者下载不明来源的文件。
2. 增强网站的安全性，例如采用更加严格的验证机制、限制用户的权限、限制提交表单的格式和内容等。
3. 使用验证码、防止自动化提交等技术来防止csRF攻击。
4. 对于重要的操作或者敏感信息，可以通过二次验证或者特定权限的方式来提高安全性。
1.
服务端防御：
2.
1. 正确使用 GEt、poSt 和 cookie。
2. 在非 GEt 请求中增加 token 并验证。
3.
客户端防御：
4.
1. 使用 cSRF 令牌。
2. 通过引用公钥加密重要信息。
5.
其他防御方式：
6.
1. 验证 http Referer。
2. 使用同一令牌防御多个请求。
“机会都是留给有能力的人！”