CSRF（Cross Site Request Forgery）跨站点请求伪造。
CSRF的本质是当重要操作的参数都能被攻击者预测到，才能成功伪造请求。
一、场景演示
下图是一个伪造请求的场景，按顺序来看；
1、2是正常登陆并产生Cookie，3、4是在登陆后访问骇客的网站并发请求，5是服务器执行骇客发出的请求。
这个场景的关键就是带上Cookie伪造请求。
1）浏览器中的Cookie
浏览器有“Session Cookie”（临时Cookie）和“Third-party Cookie”（本地Cookie）；
前者浏览器关闭后就失效了，后者指定了Expire时间，只有超过了时间才会失效。
默认会拦截“Third-party Cookie”的有IE6、IE7、IE8、Safari；
不会拦截的有Firefox、Opera、Chrome等，我就验证了Firefox、Chrome、以及IE8。
2）验证浏览器的支持
设计两个域名“www.normal.net”（正常的网站）和“www.csrf.net”（伪造的网站）
1. 访问“www.normal.net/cookie.php”页面，在cookie.php中设
延伸阅读
- ssh框架 2016-09-30
- 阿里移动安全 [无线安全]玩转无线电——不安全的蓝牙锁 2017-07-26
- 消息队列NetMQ 原理分析4-Socket、Session、Option和Pipe 2024-03-26
- Selective Search for Object Recognition 论文笔记【图片目标分割】 2017-07-26
- 词向量-LRWE模型-更好地识别反义词同义词 2017-07-26
- 从栈不平衡问题 理解 calling convention 2017-07-26
- php imagemagick 处理 图片剪切、压缩、合并、插入文本、背景色透明 2017-07-26
- Swift实现JSON转Model - HandyJSON使用讲解 2017-07-26
- 阿里移动安全 Android端恶意锁屏勒索应用分析 2017-07-26
- 集合结合数据结构来看看(二) 2017-07-26
学习是年轻人改变自己的最好方式