CSRF漏洞初解

CSRF漏洞初解

1.什么是CSRF漏洞

CSRF（Cross-Site Request Forgery）漏洞是一种Web应用程序安全漏洞，也被称为"One-Click Attack"或"Session Riding"。它利用了Web应用程序对用户在其他网站上已经验证过的身份的信任，通过伪装请求来执行非授权的操作

可以通俗的理解为：攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等

2.CSRF漏洞的原理和流程

CSRF攻击利用了Web应用程序对用户在该应用程序中已经建立的会话的信任。攻击者构造恶意网站或链接，诱使受害者在另一个网站上进行操作，例如点击一个链接或提交一个表单。如果受害者已经在目标网站上建立了有效的身份验证会话，那么他们的浏览器将自动包含相应的身份验证凭据（例如cookie）在请求中，当受害者点击恶意链接时，他们的浏览器会发送一个包含恶意操作请求的请求，例如更改密码、发布消息或执行其他敏感操作。由于浏览器会自动包含目标网站的身份验证凭据，目标网站会误认为请求是合法的，然后执行相应的操作

CSRF攻击攻击原理及过程如下：

1. 用户C打开浏览器，访问受信任网站A，输入用