三.CSRF

CSRF的全称是 Cross Site Request Forgery，即跨站请求伪造。  
CSRF最关键的两点：跨站点的请求和请求是伪造的  

一. CSRF类型

按照请求：get类型与post类型  
按照攻击方式：HTML CSRF攻击，JSON HiJacking攻击，Flash CSRF攻击  

二.HTML SCRF攻击

发起CSEF请求都属于HTML发出的，被称为HTML SCRF；
HTML中能够设置src/href等连接地址的标签都可以发起一个get请求，
如：

<link rel="stylesheet" type="text/css" href="">  
<img src="">  
<img lowsrc="">  
<img dynsrc="">  
<iframe src="">
<meta http-equiv="refresh" content="0" url="">  
<a href=""></a>...等等  

说明：img dynsrc可以用来插入各种多媒体，
格式可以是Wav、Avi、AIFF、AU、MP3、Ra、Ram等等。url为音频或视频文件及其路径，可以是相对路径或绝对路径。 
lowsrc 属性可设置或返回图像的低分辨率版本的 URL。  

css样式中：  
@import “”  
backgroun： url(...);

三. JSON HiJacking 攻击

是对ajax响应中最常见的JSON 数据类型进行的劫持攻击。

四. flash CSRF攻击

Flash 的世界遵循同源策略，发起的CSRF攻击时通过ActionScript叫本来完成的。
主要有：
1.跨域获取隐私数据
2.跨域提交数据操作，如（增，删，改查），这里不会获取到隐私数据