对一些经常能挖到的csrf,jsonp这些利用判断refer做防范的我们能如何绕过呢? 下面是在SRC中的一些绕过史: 第一、最简单的在其域名下后面加上其他的字符来通过其他的域名绕过。 如下: 原本为: http://www.test.com 我们修改为: http://www.test.com.raoguo.com 第二、通过将其作为参数来绕过 如下: 原本为: http://www.test.com 我们修改为: http://www.test222.com/?a=http://www.test.com 第三、重写域名绕过 大致的正则可能是 *.test.*com 导致只要域名中为开头有test开始和com结尾就可以。 如下: 原本为: http://www.test.com 我们修改为: http://www.test.comxxxtest.com 这样同样能绕过。 目前就遇到了这些绕过,还有什么其他绕过的吗?欢迎留言交流。