跨站请求伪造（CSRF）——常见网站攻击手段原理与防御

跨站请求伪造攻击即未经许可强迫受害者在另一个站点执行一些行为。

CSRF攻击流程:

第一步：登录受信任网站A，并在本地生成COOKIE。

第二部：在不登出A的情况下，访问微信网站B。

CSRF攻击原理：

Web的隐式身份验证机制只能保证一个请求是来自于某个用户的浏览器，但是无法保证请求是用户批准的。

CSRF防御：

1、验证HTTP Referer字段，保证请求来源地址必须与服务端网站一致。

2、在请求中加入攻击者不能伪造的信息（如Token等）另外：对于表单提交，不同的表单包含一个不同的伪随机数。

3、前端验证码机制（易用性不好）