跳转至

在 Perl 中篡改 HTML 表单

原文:https://www.geeksforgeeks.org/html-form-tampering-in-perl/

Web 应用程序使用 HTML 表单来接收用户的输入。HTML 表单有一个主要缺点，即用户可以将表单保存在文件中，对其进行编辑，并将编辑后的表单文件提交回服务器。这个问题会导致更糟的结果，因为网络应用本质上是“无状态”的。HTTP 中的事务是无连接的，并且是一次性传输的。在通过表单收集用户数据的同时，他们必须通过一系列输入表单将他们的信息存储到服务器。“状态”信息存储在用户的浏览器中，并在交易时一起发送回服务器。该状态信息可以通过 3 种方式存储:

  • 浏览器中的cookie
  • 网址中的特殊标签
  • HTML 表单中隐藏的字段

HTML 表单中最常用的方法是隐藏的字段。这有助于隐藏表单中的输入，并且使用起来最简单，可以保存大量数据。然而，在填写表单时，数据存储在用户的网络浏览器上，它们很容易篡改隐藏的字段。

示例:一个简单的 web 应用程序，允许用户使用 Perl 中的 CGI 库“登录”和更新他们的“邮件地址”。

Perl 语言

#!/usr/bin/perl
use CGI qw/:standard/;

# Printing the MIME header:
print "Content−type: text/html\n\n";
print '<html><body>';
print '<h1>Tampering Input Form Example</h1>';

# Assign some unchanged example values:
$userid = 'GeeksforGeeks';
$credit_ok = 1;
$form_expires = '40002002:10:53:50';

# Displaying a blank HTML form:
if (! param('chaddr'))
{
 print_form();
}
else {
 print "You made this easy ", param('userid'), "<br>";
 print "Your address information has been successfully updated.";
}
print "</body></html>";

## SUBROUTINES:
sub print_form {

# Prints an example HTML form
# with signature in the hidden field:
print<<END_TEXT;

<p><form action="http://netlify.app/cgi/Tampered-Input-Form.pl"
method="post">
<table>
<tr>
<td><b>Address line A:</b></td><td><input type="text" name="addressA"></td>
<tr>
<td><b>Address line B:</b></td><td><input type="text" name="addressB"></td>
<tr>
<td><b>City:</b></td><td><input type="text" name="city"></td>
<tr>
<td><b>Prov:</b></td><td><input type="text" name="prov"></td>
<tr>
<td><b>Postal:</b></td><td><input type="text" name="postal"></td>
<tr><td colspan="2" align="center">
<input type="hidden" name="userid" value="$userid">
<input type="hidden" name="credit_ok" value="$credit_ok">
<input type="hidden" name="form_expires" value="$form_expires">
<input type="submit" name="chaddr" value="Change address">
</td></tr>
</table>
</form>
END_TEXT
}

在上面的登录页面中，我们跳过了 web 应用程序的登录页面，脚本也没有对表单的数据做任何处理。当我们在网络浏览器中运行表单并考虑 HTML 源代码时。此表单使用“隐藏”字段保存登录过程中的信息:

在表单中填写一些信息并按下提交按钮后，确认屏幕会使用隐藏字段 userID 值，直接来自 HTML 表单。

篡改表格:

要篡改 HTML 表单，请按“ Ctrl+S 将 HTML 表单的网页保存到您的计算机上。HTML 表单包含“隐藏的字段，可以使用文本编辑器进行编辑。更改“用户标识”字段，然后保存编辑后的文件。然后在网络浏览器中打开相同的文件并提交表单。它将接受编辑后的文件，因为网络应用程序信任隐藏的“T6”字段。

示例:通过更改隐藏字段来篡改 HTML 表单。

  • HTML 表单:

  • 通过‘Ctrl+S’保存上述表格
  • 表单中最初隐藏的字段:

超文本标记语言

<input type="hidden" name="userid" value="GeeksforGeeks" type="hidden"/>

<input type="hidden" name="credit_ok" value="1"/>

<input type="hidden" name="form_expires" value="40002002:10:53:50"/>
  • “用户标识”的值为“极客头像，类型为隐藏。
  • 篡改表单中的隐藏字段:

超文本标记语言

<input type="hidden" name="userid" value="Geeks123" />

<input type="hidden" name="credit_ok" value="1" />

<input type="hidden" name="form_expires" value="40002002:10:53:50"/>
回到顶部