本文介绍了CSRF攻击的概念，指出它利用网站对用户浏览器的信任，执行非用户意愿的操作。通过pikachu靶场的案例，展示了攻击过程和难点，并探讨了防御CSRF的几种方法，包括输入原始密码、设置Token、检查referer、使用验证码和限制请求方式。
CSRF
1.CSRF:
CSRF:跨站请求伪造（Cross-site request forgery）CSRF是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。当用户访问含有恶意代码的网页时,会向指定正常网站发送非本人意愿的数据请求包（如转账给hack,向hack发送API等）如果此时用户恰好登录了该正常网站（也就是身份验证是正常的）就会执行该恶意代码的请求，从而造成CSRF。
XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。CSRF是借用户的权限完成攻击，攻击者并没有拿到用户的权限，而XSS是直接盗取到了用户的权限，然后实施破坏。
2.pikachu靶场：
1）此时，我们假设物理机是用户（被攻击者），ip：192.168.0.100
先搭建web服务，正常登录到个人中心页面：
然后抓取修改信息的数据包（知道是get方式传值以及cookie），之后就可以放包返回我们的登录界面了（只用在登录界面即可）：
最低0.47元/天 解锁文章
1113
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
