跨网站请求伪造攻击

攻击者伪造目标用户的HTTP请求，而后此请求发送到有CSRF漏洞的网站，网站执行此请求后，引起跨站请求伪造攻击。

攻击者利用隐蔽的HTTP链接，让目标用户在不注意的状况下单击这个连接，因为是用户本身点击的，而他又是合法用户拥有合法权限，因此目标用户可以在网站内执行特定的HTTP连接，从而达到攻击者的目的。

它与XSS的攻击方法不一样，XSS利用漏洞影响站点内的用户，攻击目标是同一站点内的用户者，而CSRF 经过假装成受害用户发送恶意请求来影响Web系统中受害用户的利益。

例如：

某个购物网站购买商品时，采用 http://www.shop.com/buy.php?item=watch&num=100 ，item参数肯定要购买什么物品，num参数肯定要购买数量，若是攻击者以隐藏的方式发送给目标用户连接，那么若是目标用户不当心访问之后，购买的数量就成了100个

防范方法

• 检查网页的来源
• 检查内置的隐藏变量
• 使用POST，不要使用GET，处理变量也不要直接使用$_REQUEST