CSRF学习

一、CSRF基础知识

CSRF概念：CSRF跨站点请求伪造(Cross Site Request Forgery)。这样理解：攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。

一个完整的CSRF攻击需要具备一下两个条件：

第一、用户已经登录某站点，并且在浏览器中存储了登录后的cookie信息。
第二、在不注销某站点的情况下，去访问攻击者构造的站点。
CSRF利用的是WEB的隐式身份验证机制来达到攻击者的攻击目的。