csrf跨站点伪装请求和xss跨站点攻击

参考地址 http://selfcontroller.iteye.com/blog/1844653

          http://blog.csdn.net/liushulin183/article/details/52613658

CSRF攻击的主要目的是让用户在不知情的情况下攻击自己已登录的一个系统，类似于钓鱼。如用户当前已经登录了邮箱，或bbs，同时用户又在使用另外一个，已经被你控制的站点，我们姑且叫它钓鱼网站。这个网站上面可能因为某个图片吸引你，你去点击一下，此时可能就会触发一个js的点击事件，构造一个bbs发帖的请求，去往你的bbs发帖，由于当前你的浏览器状态已经是登陆状态，所以session登陆cookie信息都会跟正常的请求一样，纯天然的利用当前的登陆状态，让用户在不知情的情况下，帮你发帖或干其他事情。

预防措施，请求中加入随机数，让钓鱼网站无法正常伪造请求。

 

XSS攻击的主要目的则是，想办法获取目标攻击网站的cookie，因为有了cookie相当于有了seesion，有了这些信息就可以在任意能接进互联网的pc登陆该网站，并以其他人的生份登陆，做一些破坏。

预防措施，防止下发界面显示html标签，把</>等符号转义

XSS：跨站脚本攻击，注入攻击的一种。攻击者利用应用程序的动态展示功能，在HTML页面中嵌入恶意代码。当用户浏览该页时，这些嵌入在html的恶意代码就会被执行，用户浏览器被攻击者控制。。。。

1.盗取用户cookie,伪造用户身份

2.控制用户浏览器

3.结合浏览器及其插件漏洞，下载病毒木马到浏览者的计算机运行

4.衍生URL跳转漏洞

5.官网挂钓鱼网站

6.蠕虫攻击

这里我们的高级会员卡卡号 = 保存在cookie的sessionid； 
而我的高级会员卡权利和个人信息就是服务端的session对象了。 

我们知道http请求是无状态的，也就是说每次http请求都是独立的无关之前的操作的，但是每次http请求都会将本域下的所有cookie作为http请求头的一部分发送给服务端，所以服务端就根据请求中的cookie存放的sessionid去session对象中找到该会员资料了。 
当然session的保存方法多种多样，可以保存在文件中，也可以内存里，考虑到分布式的横向扩展我们还是建议把它保存在第三方媒介中，比如redis或者mongodb。