CSRF
1.1 原理:
利用目标用户的合法身份,以用户的名义执行某些非法操作
1.2 Get型CSRF
点击提示 获取账号密码
随意登录一个账户
打开Bp 点击修改个人信息
点击提交submit
可以看到这就是修改账户信息的链接 ,复制出来,可以放到image等资源标签中,诱使用户点击,修改信息
当用户点击链接时,就会修改掉当前账户的信息
1.3 POST型CSRF
登录账户并且点击修改个人信息
打开Bp,点击submit提交
获取到地址,可以自己编写一个html文件,使用form表单提交
修改成功
1.4 Token CSRF
登录任意一个账户
点击修改个人信息,打卡Bp抓包
多出了一个token,我们打开源码看看token的算法是怎么样的
而且会替换掉原先session中的token值
所以可以有效的防止CSRF攻击