csrf也是利用html和js来对他人的网站进行攻击的。但是跟xss不同的是,不需要对cookie进行操作。
例如
在管理员下可以增加管理员,但是增加管理员的时候没有验证码这一项,也就是说只有用户名和密码。
这个时候我们可以在我们的网站下按照相同的表单设置value,表单指向这个管理员的网址,然后在js里设置自动点击提交按钮,并且设置这个表单隐藏。
这样将这个网页发送给管理员,管理员打开,如果他在线或者session未失效,那么我们的表单就可以提交上去。这样我们就有了新的管理员账户。
当然还有很多其他的例子。这里就不一一说了。
csrf和xss也可以配合。
如何预防呢?
可以加上验证字段,例如验证码;安装csrf检测工具;不用的登录过的网站一定要点退出按钮;
使用两个浏览器分工,奇奇怪怪的在一个浏览器打开,重要的在一个浏览器打开;
尽量不要打开奇奇怪怪的链接。