什么是CSRF 攻击

CSRF攻击是通过强制用户登录到攻击者控制的账户来策划的。为了达到这一目的，黑客使用他们的凭证向网站伪造一个状态改变请求，并将表单提交到受害者的浏览器。服务器对浏览器请求进行身份验证，并将用户登录到攻击者的账户。当受害者向攻击者的账户提交正在登录的敏感信息时，攻击者可以利用这些信息执行一些不必要的操作，包括身份盗窃。

CSRF攻击的攻击原理

CSRF攻击一般的攻击原理是，攻击者向目标网站注入一个恶意的CSRF攻击URL地址，当用户访问某特定网页时，如果用户点击了该URL，那么攻击就触发了，我们可以在该恶意的URL对应的网页中，利用来向目标网站发生一个get请求，该请求会携带cookie信息，所以也就借用了用户的身份，也就是伪造了一个请求，该请求可以是目标网站中的用户有权限访问的任意请求。也可以使用JavaScript构造一个提交表单的post请求。比如构造一个转账的POST请求。