简介
<b><font color="#ff0000">CSRF原理</font></b>
程序员开发的时候，未对相关页面进行<b><font color="#ff0000">token</font></b>和<font color="#ff0000"><b>REFERER</b></font>判断，造成攻击者可构造自己的<font color="#ff0000"><b>URL</b></font>地址欺骗目标用户进行<font color="#ff0000"><b>点击攻击</b></font>
CSRF攻击分类
站内
CSRF站内类型的漏洞在一定程度上是由于程序员滥用$_REQUEST类变量造成的。
站外
CSRF站外类型的漏洞本质上就是传统意义上的外部提交数据问题，没有对客户端的操作做限制
CSRF重点攻击
1：CSRF的攻击建立在浏览器与Web服务器的会话之中
2 ：欺骗用户访问URL
如何挖掘CSRF漏洞（CSRF一般与XSS结合使用）
<font color="#ff0000"><b>修改密码的地方</b></font>
<b><font color="#ff0000">添加用户的地方</font></b>
<b><font color="#ff0000">数据库备份的地方</font></b>
<b><font color="#ff0000">数据交易、支付等</font></b>
<b><font color="#ff0000">等其它一些对话框钓鱼页面</font></b>
<b><font color="#ff0000">造成危害</font></b>
数据库信息泄露
盗取用户数据
本地网络设备攻击
子主题
防御方法
<b><font color="#ff0000">矫验referer字段</font></b>
<font color="#ff0000"><b>添加token值</b></font>
白名单
增加验证码 、原始密码
