目录
什么是CSRF
Cross-Site Request Forgery:跨站请求伪造,也称为ONe Click Attack或者Session Reinding,通常缩写为CSRF或者XSRF。
XSS与CSRF区别:
- XSS利用站点内的信任用户,盗取Cookie
- CSRF通过伪装成受信任用户请求受信任的网站
第三方网站对目标网站发起一个请求的时候利用用户的cookie冒充了用户的身份。
实现流程:
①用户访问网站(例如网上银行),网站返回cokkie,保存在浏览器里面。
②点击攻击链接/访问攻击者网站,网站返回一个包含恶意请求(例如银行转账)的页面
③浏览器对该请求进行解析执行,利用刚刚用户登录银行网站的cookie。
CSRF漏洞原理
利用目标用户的合法身份,以目标用户的名义执行某些非法操作。
但是有两个前提,①用户登录当前系统(