CSRF说明

 

CSRF:

 

跨站请求伪造

与XSS区别： XSS：利用用户对站点的信任 CSRF：利用站点对已经通过身份认证客户端的信任

CSRF原理(在用户非自愿、不知情的状况下提交请求)： 当client已经与server创建一个正常session，黑客发来一个针对该server修改密码的连接诱使client点击，此时若是server无条件接收该修改密码的请求则视为存在CSRF漏洞(此修改密码行为并不是用户主动意愿)

解决方案：为在执行该敏感操做时server提早发出挑战，询问client是否为主观意愿

 

CSRF属于业务逻辑漏洞

一、对关键操做缺乏确认机制(修改密码时的验证码也算一种确认机制)

二、自动扫描程序没法发现此类漏洞