web安全三——跨站请求伪造攻击（Cross Site Request Forgery (CSRF)）

墨衍会员 · AI 创作全网分发 墨衍智能分发 本文由作者通过墨衍一键同步至各平台 1分发平台 1.5k累计阅读 1.5k平均单平台已同步平台优快云微信公众号微博知乎掘金百家号博客园抖音小红书 你的文章也可以这样分发 墨衍会员 ¥399起/年，写一次发全网我也要 → 码龄15年

关注

原创最新推荐文章于 2026-04-14 10:35:17 发布 1.5k 阅读 AI 写同款· GEO 优化 ›

信息安全 SEED Lab8 Cross-Site Request Forgery (CSRF) Attack Lab 这个实验主要是利用CSRF攻击来完成一些恶意的操作。由于整个实验过程要用到两个网站，这里先配置一下。两个网站都部署在本地，且用域名访问，所以我们需要现在 /etc/hosts文件中设置域名到 IP 的映射关系。内容如下： 127.0.0.1 www.csrflabelgg.com 127.0.0.1 www.csrflabattacker.com 网站使用Apache作为服务器，在/etc/apache2/sites-available/000-default.conf配. 阅读详情

web安全三——跨站请求伪造攻击（Cross Site Request Forgery (CSRF)）

收录于

PHP

当前文章被收录于：

PHP

13 篇文章 0 人学习

订阅专栏查看详情

当前文章被以下社区和专栏收录：

关于CSRF（Cross-site request forgery）跨站请求伪造 CSRF（Cross-site request forgery）跨站请求伪造 CSRF理解跨站请求伪造也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF，是一种挟制用户在当前已登录的 Web 应用程序上执行非本意的操作的攻击方法。可以理解为攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟阅读详情

相关推荐

DVWA系列---CSRF（Cross Site Request Forgery）跨站请求伪造

文章目录一、前言CSRF二、Low级别1、演示2、源码三、Medium级别1、演示2、源码四、High级别1、演示一、前言 CSRF CSRF（Cross Site Request Forgery）名为“跨站请求伪造”，意思是黑客伪装成用户的身份，利用目标服务器对用户的信任（即用户已经登入，且存有Cookie）进行数据请求或数据更改，达到攻击的目的。 CSRF形成的原因： 1、用户在登陆了网站后...

野原新之助 817

跨站请求伪造CSRF

以下转自：http://www.cnblogs.com/dolphinX/p/3403520.html CSRF是Cross Site Request Forgery的缩写，乍一看和XSS差不多的样子，但是其原理正好相反，XSS是利用合法用户获取其信息，而CSRF是伪造成合法用户发起请求。在XSS危害——session 劫持中我们提到了session原理，用户登录后会把登录信息存放在

浪漫鼠 3353

CSRF(Cross-Site Request Forgery) 跨站请求伪造

WEB安全中CSRF漏洞攻击最为全面的知识点总结，直击核心知识点，将零散的知识汇总梳理。为深入学习CSRF打下良好基础！

一个安全白帽子的成长记录：Web 安全、漏洞复现、内网渗透。完整目录在 gysec.top 2026

漏洞篇（CSRF跨站请求伪造）

CSRF（Cross-site request forgery，跨站请求伪造）也被称为 One Click Attack(单键攻击)或者 Session Riding，通常缩写为 CSRF 或者 XSRF。forgery [ˈfɔːdʒəri] 伪造;Riding [ˈraɪdɪŋ] 驾驭马匹;骑马。

m0_58001548的博客 1985

给STM32F103的7寸屏找个新UI：LVGL 8.2裸机移植保姆级教程（附避坑清单）

本文详细介绍了如何将LVGL 8.2裸机移植到STM32F103开发板，特别针对7寸大屏（800×480分辨率）进行优化配置。从环境准备、工程搭建到显示驱动移植、内存优化与性能调优，提供完整的解决方案和避坑清单，帮助开发者快速实现美观的用户界面。

weixin_29181861的博客 413

ColorOS13系统账户锁与密码锁破解全指南：从恢复模式到激活绕过

本文针对ColorOS13系统用户，详细解析了忘记锁屏密码（数字/图案锁）和遭遇OPPO账户锁（激活锁）的合法解决方案。核心是通过官方恢复模式进行格式化操作清除锁屏密码，并强调账户锁需通过密码找回或官方售后等正规途径解除。文章旨在帮助设备合法所有者恢复使用权，并提供了安全操作指南与数据备份建议。

weixin_28304023的博客 962

CSRF——跨站请求伪造攻击

一般来说，攻击者通过伪造用户的浏览器的请求，向访问一个用户自己曾经认证访问过的网站发送出去，使目标网站接收并误以为是用户的真实操作而去执行命令。常用于盗取账号、转账、发送虚假消息等。攻击者利用网站对请求的验证漏洞而实现这样的攻击行为，网站能够确认请求来源于用户的浏览器，却不能验证请求是否源于用户的真实意愿下的操作行为。

peanut5036的博客 1407

百度飞桨EasyDL图像分类：收费口车辆类型自动识别

车辆类型识别在高速收费路口的应用中，场景相对单一且拍摄角度一致，因此首次训练模型效果优异，准确率达到了95%，鉴于市面上的车辆类型不断更新迭代且部分车辆的主要特征也不断发生变化，因此可在模型投入应用后，持续收集模型实际运行过中产生的数据，定期添加数据进行模型迭代，保证模型效果。企业将AI模型应用到实际场景中以实现停车费用、过路费用的自动计算，在收费口中由相机对每个车辆进行拍摄，拍摄到的图片传输到预测设备上进行类型识别，基于识别出来的车辆类型自动进行费用计算。该功能可在发起训练时选选择对应的开关打开即可。..

PaddlePaddle 1670

跨站请求伪造（CSRF，Cross-Site Request Forgery）

由于跨站请求通常无法携带自定义头信息，因此检查请求中是否包含自定义头可以作为一种防御手段。使用自定义请求头是一种防御跨站请求伪造（CSRF）攻击的技术。这种方法的基本思想是在客户端的请求中添加一个自定义的HTTP头部（Header），服务器端检查这个头部以验证请求的合法性。由于跨站请求通常无法设置自定义头部，这为服务器提供了一种简单的验证机制。

坚定目标，超越自我 3750

DeepMD-kit描述子机制解析：从原子坐标到不变性特征

本文深入解析DeepMD-kit描述子机制，详细阐述如何将原子坐标转换为具有平移、旋转和排列不变性的特征表示。探讨了se_e2_a、se_e3等不同描述子的适用场景及性能优化技巧，帮助读者掌握这一关键技术在分子模拟中的应用实践。

weixin_42520661的博客 340

SAP UI5 SimpleForm 的本质、布局选择与工程化用法：从 API 到 Fiori 规范的完整解析

SimpleForm的价值在于让开发者以“语义顺序”来思考表单：分组—行—字段，由此把更多精力放在表单信息架构与Fiori规范的落地上。当你理解了开分组、Label开新行、的断点与比例、的对齐特性、editable与的真实含义，就能据此为每个页面挑选合适的布局与参数，构建既合规又具备高可读性的企业级表单。新分组、Label新行、其他控件归当前行。SAP的断点、比例与的要点来自Fiori设计文档。SAP的适用性来自样例与课程的推荐，列表类控件不应作为其行内容。某些旧属性仅在生效，应避免误用。

2007 年 ~ 2025 年，深耕 SAP 技术 18 年 300

Web安全 - 跨站点请求伪造CSRF（Cross Site Request Forgery）

CSRF (Cross-Site Request Forgery，跨站请求伪造) 是一种攻击方式，攻击者诱导用户在不知情的情况下发起非授权的请求。例如，用户在登录某个站点后，攻击者通过社交工程等手段诱使用户点击包含恶意请求的链接，利用用户已登录的状态，发起用户意图之外的操作，如转账、修改账户设置等。：在每次受保护的请求中，服务器生成一个唯一的CSRF Token，注入到表单或请求头中。：对于敏感操作，可以要求用户进行额外的身份验证，如验证码或短信验证，防止攻击者即便利用用户的认证状态，也无法完成关键操作。

小工匠 6227

python基础之语言发展历史

博主简介：原互联网大厂tencent员工，网安巨头Venustech员工，阿里云开发社区专家博主，微信公众号java基础笔记优质创作者，csdn优质创作博主，创业者，知识共享者,欢迎关注，点赞，收藏。目录一、前言二、发展历史1、Python是一种面向对象的解释型编程语言2、Python常被称为胶水语言3、Python由Guido开发4、Python连续多年入选编程语言TOP105、Python的发展历史三、总结一、前言由于Python语言的简洁性、易读性以及可扩展性，它在网络爬虫、数据分析、.

jiankang66的博客 3348

详解CSRF跨站点请求伪造

CSRF攻击： CSRF跨站点请求伪造(Cross—Site Request Forgery)：大概可以理解为攻击者盗用了你的身份，以你的名义在恶意网站发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，甚至于购买商品、转账等。例如：Web A为存在CSRF漏洞的网站，Web B为攻击者构建的恶意网站，User C为Web A网站的合法用户。 CSRF攻击攻击原理及过程如下： 1.用户C打开浏览器，访问受信任网站A，输入用户名

马儿不会飞 1万+

PCB板设置20H 原则理解

20H原则是PCB设计中抑制EMI辐射的关键方法，要求电源层比相邻地层内缩20倍介质厚度（20H）。在四层板中实现20H原则需采用S-G-P-S层叠结构，确保GND与PWR紧邻。具体步骤包括：确定GND-PWR间介质厚度H，计算20H值（通常80-120mil），并在设计软件中将电源层四周内缩20H，同时保持地层完整不内缩。注意避免常见误区，如混淆介质厚度、地层内缩等。该原则能有效限制边缘场辐射，降低EMI干扰，是四层板EMC设计的重要规范。

qq_37999850的博客 690

uniapp：实现扫描二维码+自定义扫描框+扫一扫功能，支持扫码识别二维码、条形码(条码)、微信/支付宝等二维码功能，自定义扫码页面可添加按钮或文字展示布局（移动端H5网页/小程序/安卓苹果APP端）

UNI-APP实现扫描二维码，uniapp扫描条形码，uniapp实现扫一扫功能，扫码成功后跳转页面，uniApp扫描条码，uniApp-H5 使用摄像头扫码功能(扫一扫)，实现手机扫描二维码并跳转全过程示例代码，用户扫码后自动跳转到链接，uniapp怎么调用扫一扫功能，uniapp实现扫一扫功能，uniapp请求相机使用权限，扫一扫权限申请，uniapp调用摄像头扫码，uniapp实现调用相机扫码，UniApp 实现扫描二维码，uniapp APP安卓苹果ios实现扫码扫一扫，Uniapp微信小程序扫描二

✅ 精选推荐文章 4708

PortSwigger Academy | Cross-site request forgery (CSRF) : 跨站请求伪造

文章目录什么是CSRF？CSRF攻击有什么影响？CSRF如何工作？使用SameSite Cookie防御CSRF如何构造CSRF攻击Lab: CSRF vulnerability with no defenses如何进行CSRF攻击XSS vs CSRFXSS和CSRF有什么区别？CSRF令牌可以阻止XSS攻击吗？防止CSRF攻击CSRF token什么是CSRF令牌？CSRF令牌应如何生成？CSRF令牌应如何传输？CSRF令牌应如何验证？常见的CSRF漏洞CSRF令牌的验证取决于请求方法Lab: CSRF

水榭山寺花烂漫，凤凰集外雁归来。敢与云峰争秀色，妙雨莲花九重开。 1989

最新的sdio 4.0 spec 协议标准带书签高清完整PDF版

Part-E1-SDIO-Specification-Ver4.00-Final-120220.pdf：最新的sdio 4.0 spec 协议标准带书签高清完整PDF版，包括SDIO 接口的外设，SDIO 接口官方协议等。

【SEED LAB】Cross-Site Request Forgery (CSRF) Attack Lab -跨站请求伪造

跨站请求伪造说明及实验过程

Jeongon的博客 2669

ssm框架搭建

这个是一个在idea上成功跑起来的ssm框架项目，保存在这里方便以后使用直接下载

汉书HE8，好用的汇编代码编写工具

汉书HE8，好用的汇编代码编写工具早期编写汇编代码所用功能强大

Cross-site request forgery攻击方式

一.CSRF是什么？ CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one click attack/session riding，缩写为：CSRF/XSRF。二.CSRF可以做什么？你这可以这么理解CSRF攻击：攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账…造成的问题包括：个人隐私泄露以及财产安全。三.CSRF漏洞现状 CSRF这种攻击方式在2000年

qq_41499808的博客 4202

C# WinForm 基于DirectShow.dll编写的程序，可边预览边保存视频，音频和图片

基于微软的DirectShow.dll的二次开发1.自动识别连接的摄像头跟麦克风且可以对其进行选择（默认选中第一个）2.可录制wmv和avi两种格式的视频并且都带有音频，avi可以录制的分辨率和帧数进行选择，wmv默认进行了淸晰度优化如不喜欢可去除代码中有相关提示3.可在预览点开之后进行拍照，也可边录制视频边拍照4.添加了视频和音频的压缩功能（酌情使用）这次二次开发发现C#对DirectShow的相关信息太少，这次做完也不敢藏私共享出来，还望大家指正

跨站请求伪造CSRF（Cross-site request forgery）

目录一、什么是CSRF 二、可能存在CSRF攻击的三个条件一个相关的动作基于 Cookie 的会话处理没有不可预测的请求参数二、常见的CSRF攻击 1、CSRF令牌的验证取决与请求方法 2、CSRF令牌的验证取决与令牌是否存在 3、CSRF令牌没有绑定到会话 4、CSRF令牌绑定到非会话cookie 5、CSRF令牌复制于COOKIE 6、基于Referer的CSRF防御...

石页 3231

CSRF(Cross-site request forgery)

CSRF是一个web安全漏洞，该漏洞通过引诱用户来执行非预期的操作。该漏洞使得攻击者能够绕过同源策略，同源策略是一种用来阻止不同网站相互干扰的一种技术。 CSR跨站请求伪造，攻击者利用服务器对用户的信任，从而欺骗受害者去服务器上执行受害者不知情的请求。在CSRF攻击场景中，攻击者会伪造一个请求（一般为链接），然后欺骗用户进行点击，用户一旦点击，整个攻击也就完成了。所以CSRF攻击也被称为”one click"攻击。

fencecat的博客 1139

网络安全 DVWA通关指南 Cross Site Request Forgery (CSRF)

网络安全 DVWA通关指南 Cross Site Request Forgery (CSRF) CSRF是跨站请求伪造攻击，由客户端发起，是由于没有在执行关键操作时，进行是否由用户自愿发起的确认攻击者通过用户的浏览器来注入额外的网络请求，来破坏一个网站会话的完整性。比如某网站功能，没有验证Referer也没添加Token，攻击者可以用HTML构造恶意代码提交POST请求，诱骗已经登陆的受害者点击，可以直接修改用户信息。

YueXuan_521的博客 3189

#渗透测试#网络安全# 一文搞懂什么是即跨站请求伪造CSRF（Cross - site request forgery）！！！

CSRF（Cross - site request forgery），即跨站请求伪造，也被称为One Click Attack或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。

soc的博客 1211

【软件安全】什么是CSRF（Cross-Site Request Forgery，跨站请求伪造）？

**CSRF（跨站请求伪造）是一种攻击方式，攻击者利用已登录用户的浏览器自动发送凭据的特性，诱导用户访问恶意页面发起非预期的请求（如转账、改密）。防御措施包括：CSRF Token（服务器生成唯一令牌验证请求来源）、SameSite Cookie（限制跨站发送Cookie）、Origin/Referer检查（验证请求头来源）以及敏感操作二次验证（如密码确认）。关键风险点在于允许通过GET请求修改状态，应使用POST等安全方法并配合Token验证。典型攻击流程：用户登录目标站点→访问恶意页面→自动触发带Coo

weixin_44174312的博客 979

「典型安全漏洞系列」03.跨站请求伪造CSRF详解

CSRF 攻击通过在用户不知情的情况下，冒充用户身份向服务器发送请求。由于攻击者可以利用用户在站点上已存在的 cookie 进行身份验证，所以这种攻击往往不易被察觉。它与常见的 XSS（跨站脚本攻击）攻击有相似之处，都是利用 Web 应用程序的安全漏洞进行攻击。CSRF常年位于CWE Top10，可见其危害性及普遍性。排名源自CWE官网Note：如果想了解CWE，请参阅「网络安全常用术语解读」通用缺陷枚举CWE详解。