CSRF漏洞介绍

CSRF(Cross-site request forery,跨站请求伪造）

XSS与CSRF的区别：
1、XSS利用站点内的信任用户，盗取Cookie；
2、CSRF通过伪装成受信任用户请求受信任的网站。

CSRF漏洞原理

利用目标用户的合法身份，以目标用户的名义执行某些非法操作

CSRF成功里利用的条件：
1、用户已经登陆系统
2、用户访问对应的url

CSRF漏洞练习环境位BWAPP，可以自行去下载部署

CSRF种类：
1、Get型CSRF利用
2、Post型CSRF利用

CSRF预防措施：
1、js二次验证
2、验证码
3、HTTP Referer头
4、Token
5、HTTP自定义头

CSRFTester（一款CSRF漏洞你探测工具）

工作原理：
CSRFTester工具的测试原理是使用代理抓取我们浏览器中访问过的所有链接以及提交的表单等信息，通过CSRFTester中修改相应的表单等信息，重新提交，相当于伪造一次客户端的请求，如果修改的请求成功被网站服务器接受并执行，则说明存在CSRF漏洞（这一款工具也被用于做CSRF攻击）

CSRFTester使用步骤

1、设置浏览器代理：127.0.0.1：8008
2、启动run.bat