7、csrf漏洞复现

7、csrf漏洞复现

csrf全名为跨站请求伪造，是一种对网站的恶意利用，虽然听起来和xss很像，但是它们俩还是有很大的区别的。xss窃取了用户的cookie身份认证信息，而csrf没有窃取登录凭证，仅仅是“冒用”。

例如：
一个有csrf漏洞的A网站，网站B是攻击者构造的一个恶意网站，当用户没有退出A网站，或者用户登陆A网站的cookie没有过期，只要在同一个浏览器中打开这个网站B，攻击者就可以利用用户的身份进行用户才能进行的操作了。

这里我们用DVWA的靶场：
LOW等级
抓包后，去掉Referer字段，如果go一下，依然有效，那么基本上可以确定该网站有csrf漏洞了。