CSRF攻击原理
CSRF (Cross-site Request Forgery，跨站请求伪造，也被称为"one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。
XSS利用站点内的信任用户(受害者)，而CSRF通过伪装来自受信任用户的请求来利用受信任的网站。
通过社会工程学的手段（如通过电子邮件发送一个链接)来盖惑受害者进行一些敏感性的操作，如修改密码、修改E-mail、转账等，而受害者还不知道他已经中招
CSRF攻击危害
CSRF的破坏力依赖于受害者的权限
如果受害者只是个普通的用户，则一个成功的CSRF攻击会危害用户的数据以及一些功能
如果受害者具有管理员权限，则一个成功的CSRF攻击甚至会威胁到整个网站的安全。
与XSS攻击相比，CSRF攻击往往不太流行(因此对其进行防范的资源也相当稀少)和难以防范。
故被认为比XSS更具危险性，所以CSRF在业内有个响当当的名字——沉睡的巨人。
典型的CSRF攻击传递
Alice登录了一个金融网站mybank.com
Bob 知道这个金融网站mybank.com，并且发现这个网站的转账功能有CSRF漏洞。
于是，Bob 在myblog.com 上发表了一条blog，这个blog支持img自定义功能
Alice在自己的浏览器上打开了另一个标签页正好也读到这个blog。
CSRF攻击预防
1、增加一些确认操作
2、重新认证
3、使用Token
标签：XSS,受害者,攻击,blog,网站,CSRF From： https://www.cnblogs.com/shenziyi/p/17249283.html