跨网站请求伪造攻击

2019独角兽企业重金招聘Python工程师标准>>>

攻击者伪造目标用户的HTTP请求，然后此请求发送到有CSRF漏洞的网站，网站执行此请求后，引发跨站请求伪造攻击。

攻击者利用隐蔽的HTTP连接，让目标用户在不注意的情况下单击这个链接，由于是用户自己点击的，而他又是合法用户拥有合法权限，所以目标用户能够在网站内执行特定的HTTP链接，从而达到攻击者的目的。

它与XSS的攻击方法不同，XSS利用漏洞影响站点内的用户，攻击目标是同一站点内的用户者，而CSRF 通过伪装成受害用户发送恶意请求来影响Web系统中受害用户的利益。

例如：

某个购物网站购买商品时，采用 http://www.shop.com/buy.php?item=watch&num=100 ，item参数确定要购买什么物品，num参数确定要购买数量，如果攻击者以隐藏的方式发送给目标用户链接，那么如果目标用户不小心访问以后，购买的数量就成了100个

防范方法

• 检查网页的来源
• 检查内置的隐藏变量
• 使用POST，不要使用GET，处理变量也不要直接使用$_REQUEST

转载于:https://my.oschina.net/u/616147/blog/1793807