网络安全笔记 -- CSRF漏洞、SSRF漏洞

1. CSRF漏洞

1.1 CSRF漏洞原理

CSRF(Cross—Site Request Forgery：跨站点请求伪造)

CSRF 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。跟跨网站脚本（XSS）相比，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。

跨站请求攻击，简单地说，是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己曾经认证过的网站并运行一些操作（如发邮件，发消息，甚至财产操作如转账和购买商品）。由于浏览器曾经认证过，所以被访问的网站会认为是真正的用户操作而去运行。这利用了web中用户身份验证的一个漏洞：简单的身份验证只能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的。

CSRF与XSS的区别：
CSRF是借用户的权限完成攻击，攻击者并没有拿到用户的权限
XSS是直接盗取到了用户的权限，然后实施破坏

1.2 CSRF（GET）案例

平台：pikachu

1. 进入登录界面，输入账号密码登录：