什麼是CSRF攻擊?如何防禦CSRF攻擊?

　　CSRF，英文全稱是Cross-site request forgery，又稱為跨站請求偽造，是指駭客引誘使用者開啟駭客的網站，在駭客的網站中，利用使用者的登入狀態發起的跨站請求。那麼什麼是CSRF攻擊?其攻擊原理是什麼?以下是詳細內容介紹。

　　什麼是CSRF攻擊?

　　CSRF攻擊是透過強制使用者登入到攻擊者控制的賬戶來策劃的。為了達到這一目的，駭客使用他們的憑證向網站偽造一個狀態改變請求，並將表單提交到受害者的瀏覽器。伺服器對瀏覽器請求進行身份驗證，並將使用者登入到攻擊者的賬戶。當受害者向攻擊者的賬戶提交正在登入的敏感資訊時，攻擊者可以利用這些資訊執行一些不必要的操作，包括身份盜竊。

　　CSRF攻擊的攻擊原理是什麼?

　　CSRF攻擊一般的攻擊原理是，攻擊者向目標網站注入一個惡意的CSRF攻擊URL地址，當使用者訪問某特定網頁時，如果使用者點選了該URL，那麼攻擊就觸發了，我們可以在該惡意的URL對應的網頁中，利用來向目標網站發生一個get請求，該請求會攜帶cookie資訊，所以也就借用了使用者的身份，也就是偽造了一個請求，該請求可以是目標網站中的使用者有許可權訪問的任意請求。也可以使用JavaScript構造一個提交表單的post請求。比如構造一個轉賬的POST請求。

　　所以CSRF的攻擊分為了兩步，首先要注入惡意URL地址，然後在該地址中寫入攻擊程式碼，利用等標籤或者使用JavaScript指令碼。

　　如何防禦CSRF攻擊?

　　1、儘量使用post，限制get

　　2、瀏覽器cookie策略

　　3、加驗證碼，強制使用者必須與應用進行互動，才能完成最終請求

　　4、Referer Check

　　5、Anti CSRF Token