首先请各位客官看这里:http://viptest.yupage.com

这便是一个使用开源程序7ghost搭建的反向代理演示站。

反向代理，是指反向代理服务器从目标内容服务器上抓取内容返回给用户，反向代理服务器充当了一个中介的功能，它本身是没有任何内容的。整个流程如下：

Apache服务器2.2.0-2.2.21版本存在一个漏洞（CVE-2012-0053），攻击者可通过给网站植入超大的Cookie，使得HTTP头超过apache的LimitRequestFieldSize（最大请求长度）4192字节，apache便会返回400错误，状态页中就包含了http-only保护的cookies。

CSRF（Cross-site request forgery）跨站请求伪造，由于目标站无token/referer限制，导致攻击者可以用户的身份完成操作达到各种目的。根据HTTP请求方式，CSRF利用方式可分为两种。

首先,在本地主机（假设为目标主机）  新建一个wooyun用户,并为之设置密码,然后通过gethashes.exe获取到HASH 

```
C:>net user wooyun test 

The command completed successfully.