2、CSRF漏洞，网络安全面试自我介绍范文

最新推荐文章于 2024-09-16 17:27:40 发布

程序员DCS阿里

最新推荐文章于 2024-09-16 17:27:40 发布

阅读量842

点赞数 16

分类专栏： 2024年程序员学习文章标签： web安全 csrf 面试

本文链接：https://blog.csdn.net/m0_57473261/article/details/137848807

版权

2024年程序员学习专栏收录该内容

239 篇文章 1 订阅

订阅专栏

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip204888 （备注网络安全）

正文

1.1、定义

跨站请求伪造（Cross-Site Request Forgery）是一种网络安全漏洞，攻击者利用用户当前已经认证的会话来执行未经用户授权的操作。攻击者通过诱使受害者在其身份验证的网站上执行恶意操作来实施此攻击，从而绕过了目标网站对请求来源的验证机制。

网站的敏感操作缺乏二次校验或所依赖的参数可被预测。简单来说就是可以“一次性”完成。所谓“一次性”，是指该请求提交时的表单可被事先构造，经攻击者发送给受害用户，当受攻击的用户点击链接时，在不知情的情况下自动完成了对表单的提交。

流程：

构造表单————>攻击者发给受害者————>受害者点击链接————>表单成功提交————>受害者信息泄露

对于GET类型的请求，可直接构造恶意链接。若请求是POST类型，则可以采用JS自动提交，受害者仍然是打开一个链接就会执行。

<!DOCTYPE html>
<html>
<head>
  <title>CSRF Attack Example</title>
</head>
<body>

  <!-- 正常站点上的表单 -->
  <form id="myForm" action="https://example.com/transfer" method="POST">
    <input type="hidden" name="amount" value="1000000">
    <input type="submit" value="Transfer">
  </form>

  <script>
 // JavaScript 代码，当页面加载后自动提交表单
 document.addEventListener('DOMContentLoaded', function() {
 document.getElementById('myForm').submit(); // 提交表单
 });
 </script>

</body>
</html>