CSRF攻击介绍及常用防御手段

什么是CSRF攻击？

CSRF(跨站点请求伪造)，就是攻击者诱使用户访问了一个页面，以该用户身份在第三方站点里执行相关操作。

比如：登陆了sohu博客后，只需要请求这个url，就能够吧编号为“156713012”的博客文章删除

http://blog.sohu.com/manage/entry.do?m=delete&id=156713012

攻击者首先在自己的域构造一个页面：

http://www.a.com/csrf.html

内容为：

攻击者诱使目标用户访问时，就自动请求了删除的url，回过头看帖子已经被删除。可以看到，CSRF攻击的关键是绕过用户伪造请求进行攻击。

CSRF攻击相关基础之-浏览器的cookie策略

浏览器所持有的Cookie有两种：session cookie(临时cookie)、third-party cookie(本地cookie)。区别在于本地cookie 设置cookie的Expire时间，过期失效，临时cookie浏览器关闭后失效。

攻击方式

攻击者构造攻击环境，伪造GET/POST请求，诱使用户访问访问。比如、