CSRF 002

CSRF 002

---

提示：我的碎碎念，如果有错误的地方，望指正，栓Q

---

CSRF的类型

GET类型

仅需要一个http请求，一般打开网页就中招了

POST类型

通常使用一个自动提交的表单，访问页面后，表单会自动提交，相当于模拟用户完成了一次POST操作。POST相较于GET要求更严格，但不复杂。任何个人网站、博客，被黑客上传页面的网站都有可能是发起攻击的来源，后端接口不能将安全寄托在仅允许POST上面。

链接类型

需要用户点击链接才会触发。这种类型通常是在论坛中发布的图片中嵌入恶意链接，或者以广告的形式诱导用户中招，攻击者通常会以比较夸张的词语诱骗用户点击

CSRF的特点

1. 攻击一般发起在第三方网站，而不是被攻击的网站
2. 被攻击的网站无法阻止攻击发生
3. 攻击利用受害者在被攻击网站的登陆凭证，冒充受害者提交操作，而不是直接窃取数据
4. 整个过程攻击者并不能获取到受害者的登录凭证，仅仅是“冒用”
5. 跨站请求可以用各种方式：图片URL、超链接、CORS、Form提交等；部分请求方式可以直接嵌入在第三方论坛、文章中，难以进行追踪
6. CRSF通常是跨域的，因为外域通常更容易被攻击者掌控。但如果本域下又容易被利用的功能，比如可以发图和链接的论坛和评论区，攻击可以直接在本域下进行，而且这种攻击更加危险

传送门（参考链接）

(1条消息) 如何防止CSRF攻击?_小曹要加油的博客-CSDN博客_防止csrf攻击

---