qq_34519492的博客

web对话中，由于Http协议是无状态的，（无状态是指：协议本身不知道此次client请求和上次是否为同一个），为了维持临时会话状态，使得短期内刷新不重登录。提供解决方案：保存状态给client，再次访问的时候client发送状态给server。解决方法：1、隐藏字段  2、cookie  => session。[分析]1、何为隐藏字段？隐藏字段是将重要的信息用一个随机的极大数代替发送给cl...

参阅OWASP和Wikipedia等学习后总结如下：一、综述全称：Cross-site request forgery可叫做跨站请求伪造、跨站请求欺骗；CSRF 是一种迫使终端用户在已经验证的web应用中执行一些不情愿的动作actions。由于攻击者无法得到response进而构造出虚假request，CSRF攻击是针对状态改变请求，而不是数据窃取。 攻击者可以借助社会工程的帮助（email、We...