csrf攻击简单介绍

csrf也是利用html和js来对他人的网站进行攻击的。但是跟xss不同的是，不需要对cookie进行操作。

例如

在管理员下可以增加管理员，但是增加管理员的时候没有验证码这一项，也就是说只有用户名和密码。

这个时候我们可以在我们的网站下按照相同的表单设置value，表单指向这个管理员的网址，然后在js里设置自动点击提交按钮，并且设置这个表单隐藏。

这样将这个网页发送给管理员，管理员打开，如果他在线或者session未失效，那么我们的表单就可以提交上去。这样我们就有了新的管理员账户。

当然还有很多其他的例子。这里就不一一说了。

 csrf和xss也可以配合。

如何预防呢？

可以加上验证字段，例如验证码；安装csrf检测工具；不用的登录过的网站一定要点退出按钮；

使用两个浏览器分工，奇奇怪怪的在一个浏览器打开，重要的在一个浏览器打开；

尽量不要打开奇奇怪怪的链接。