Web安全之CSRF漏洞

CSRF漏洞

CSRF（Cross-site request forgery）跨站请求伪造：攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目的。

介绍：攻击者利用目标用户的身份，以目标用户的名义执行某些非法操作。

例如：以目标用户的名义发送邮件、发信息、盗取目标用户的账号，甚至购买商品、虚拟货币转账；

攻击过程分两个重点：

1.目标用户已经登录了网站，能够执行网站的功能；

2.目标用户访问了攻击者构造的URL。

GET请求：

GET请求是在网址栏传递参数，比如http://xxx.com/?id=1,这样很容易让人参数警惕，后面带了参数，这个时候可以用下面两种方法来隐藏网址

1.可用短链隐藏网站，在百度找个短链将需要请求的网站转换成短链来降低别人的警惕

2.使用《img src="需要请求的网站">来自动请求需要的网址