CSRF,SSRF和重放攻击的区别

CSRF是跨站请求伪造攻击，由客户端发起
SSRF是服务器端请求伪造，由服务器发起
重放攻击时将截获的数据包进行重放，达到身份认证等目的

三种是不同的网络安全攻击方式，他们在攻击方式，目标，影响以及防御策略上 都有区别。

CSRF（跨站请求伪造）：
CSRF，全称Cross-Site Request Forgery，也被称为One Click Attack或者Session Riding，是一种对网站的恶意利用方式。攻击者通过伪造用户的请求，利用用户对网站的信任，诱导用户在其不知情的情况下执行某些操作，如转账、提交表单等。
特点：

1. 攻击者利用用户的Cookie信息伪造请求。
2. 攻击通常来自第三方网站，通过诱导用户点击链接或表单提交等方式进行。
3. 攻击目标时用户的账户在受信任网站上的操作。

防御策略：

4. 在HTTP请求中加入随机生成的Token，并在服务器验证Token的有效性。
5. 检查请求的来源（Referer字段），确保请求来自受信任的源。
6. 使用HTTPS协议，保护Cookie不被窃取。

SSRF（服务端请求伪造）：
SSRF，全称Server-Side Request Forgery，是一种由攻击者构造请求，使服务器端发起请求的安全漏洞。攻击者可以利用服务器端对外部资源的请求功能，将服务器作为跳板来攻击内网或其他服务器。
特点：
攻击者通过控制服务器端的请求参数来构造恶意请求
攻击目标时服务器能够访问的外部资源，包括内网资源
漏洞通常出现在如file_get_contents()等可以发起网络请求的函数上
防御策略：
限制请求地址，设置白名单或黑名单
禁用特定协议和端口，减少潜在的攻击面
对请求地址进行严格的过滤和验证

重放攻击：
重放攻击（Replay Attacks），又称重播攻击、回放攻击，是指攻击者发送一个目的主机已接收过的包，以达到欺骗系统的目的。主要用于身份认证过程，破坏认证的正确性。
特点：攻击者利用网络监听或其他方式获取认证数据包。
攻击者将截获的数据包重新发送给目标系统，以欺骗系统认为是一次新的有效请求。
攻击可以针对任何依赖时间戳、序列号等机制进行认证的系统。
防御策略：
使用时间戳和随机数等机制来确保请求的时效性。
在服务器端验证请求的时效性，拒绝过期的请求。
使用加密和数字签名等技术来保护数据的完整性和真实性。