CSRF

1.什么是CSRF

CSRF（Cross-site request forgery）跨站请求伪造：攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目的。

简单点说，CSRF 就是利用用户的登录态发起恶意请求。

2.举个栗子

一个典型的CSRF攻击有着如下的流程：

受害者登录a.com,并保留了登录凭证（Cookie）。

攻击者引诱受害者访问了b.com

b.com向a.com发送了一个请求：a.com/act=xx

a.com接收到请求后，对请求进行验证，并确认是受害者的凭证，误以为是受害者自己发送的请求。

a.com以受害者的名义执行了act=xx。

攻击完成，攻击者在受害者不知情的情况下，冒充受害者，让a.com执行了自己定义的操作。