pikachu之csrf漏洞

csrf漏洞概述：

csrf攻击场景：攻击者会伪造一个请求，然后骗用户去点击（此时用户必须在登陆状态下），用户一旦点击了攻击也就完成了。这种攻击又被称为on click攻击。

例如：小明在他的电脑上进行了一次修改密码，修改完密码之后利用抓包获得修改密码时的链接。获得了一个get请求，然后将这个链接发送给对方，对方在登陆状态下点击这个链接，此时点完之后，攻击也就完成了，对方的密码也因此被修改了。

xss跟csrf漏洞很相似，但俩个时截然不同的概念。

csrf是攻击者通过接用用户的权限来完成攻击（此时并没有拿到权限），xss是直接拿到了用户的权限，然后进行破坏。

如何确认是否存在csrf漏洞

1自己修改信息，抓包，观察请求是否可以被伪造。例如修改admin账号时，不用验证旧密码就可以，导致请求被伪造。 敏感信息没有安全的token验证，请求被伪造。

防范措施：

1增加token验证

2修改账号必须进行二次验证比如验证旧密码，还有信息修改尽量用post请求。