原理 : 设计代码者 ,在对数据库进行增删改查时,传递的参数 简单,任何人只要访问指定的
网址,便可以利用当前操作者的身份进行操作。
例子 : A 站存在 CSRF漏洞 (增加管理员一处参数过于简单,没有验证),B站是攻击者的服务器
管理员登陆账户后 在A 站浏览 检查, 攻击者在A站上边发了个 诱惑性的网站链接 ,比如:
我是XXX ,我好寂寞, 快点我~
然后管理员,嘿嘿一笑就进去了 ,发现什么都没有嘛 这时候,他不知道 ,
这时候他已经创建了一个 管理员的账号.....
防范 :参数传递中增加token