CSRF说明
Posted baihualin
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了CSRF说明相关的知识，希望对你有一定的参考价值。
CSRF:
跨站请求伪造
与XSS区别： XSS：利用用户对站点的信任 CSRF：利用站点对已经经过身份认证客户端的信任
CSRF原理(在用户非自愿、不知情的情况下提交请求)： 当client已经与server建立一个正常session，黑客发来一个针对该server修改密码的链接诱使client点击，此时如果server无条件接收该修改密码的请求则视为存在CSRF漏洞(此修改密码行为并非用户主动意愿)
解决方案：为在执行该敏感操作时server提前发出挑战，询问client是否为主观意愿
CSRF属于业务逻辑漏洞
1、对关键操作缺少确认机制(修改密码时的验证码也算一种确认机制)
2、自动扫描程序无法发现此类漏洞
以上是关于CSRF说明的主要内容，如果未能解决你的问题，请参考以下文章