web安全渗透测试十大常规项（一）：web渗透测试之CSRF跨站请求伪造

CSRF跨站请求伪造

#CSRF-无检测防护-检测&生成&利用
检测：黑盒手工利用测试，白盒看代码检验（有无token，来源检验等）
生成：BurpSuite->Engagement tools->Generate CSRF Poc
利用：将文件防止自己的站点下，诱使受害者访问（或配合XSS触发访问）

#CSRF-Referer同源-规则&上传&XSS
https://blog.csdn.net/weixin_50464560/article/details/120581841
严谨代码PHP DEMO：

<?php // 检测来源 function checkReferrer() { $expectedReferrer = "http://example.com"; // 期望的来源页面 if (!isset($_SERVER['HTTP_REFERER']) || $_SERVER['HTTP_REFERER'] !== $expectedReferrer) { die(