Csrf攻击

1.Csrf原理：

1.对目标网站增删改的地方进行标记，并观察其逻辑，判断请求是否可以被伪造，比如修改管理员账号时，并不需要验证旧密码，导致请求容易被伪造；v比如对于敏感信息的修改并没有使用安全的token验证，导致请求容易被伪造。
2.确认凭证的有效期(这个问题会提高CSRF利用的概率)
3.虽然退出或者关闭了浏览器，但cookie仍然有效，或者session并没有及时过期，导致CSRF攻击变的简单

2.防御CSRF攻击：

验证token：form 的最后加上
验证HTTP请求的Referer，
还有验证XMLHttpRequests里的自定义header

3.攻击形式：

Get:构造链接
Post:编写一个post.html页面，构造一个链接指向该页面,当用户访问没有结束会话时此页面时，该页面会发起一次攻击请求

4.Csrf是什么：

CSRF（Cross-site request forgery），也被称为：one click attack/session riding，中文名称：跨站请求伪造，缩写为：CSRF/XSRF。

5.CSRF 和 XSS 的区别

区别一：
CSRF：需要用户先登录网站A，获取 cookie。

XSS：不需要登录。
区别二：（原理的区别）
CSRF：是利用网站A本身的漏洞，去请求网站A的api。

XSS：是向网站 A 注入 JS代码，然后执行 JS 里的代码，篡改网站A的内容。