CSRF是甚么

CSRF（Cross-SiteRequestForgery），中文也称为跨站要求捏造，指的是攻击者冒充用户在用户已登录的情况下，对网站发起歹意的要求。

具体来讲，在用户登录了某个网站，并获得到了该网站的Cookie后，攻击者可以在用户不知情的情况下发起捏造的要求，比如添加一篇文章、发起一笔转账等，从而到达攻击效果。

CSRF攻击的危害

CSRF攻击的危害非常大，由于攻击者可以在用户不知情的情况下操作用户的账户，从而致使用户遭受经济损失、个人隐私泄漏等风险。

比如，攻击者可以冒充用户向受害者的银行卡上转账，从而致使受害者的财务遭到严重影响；或攻击者可以通过冒充用户的身份访问该用户的个人信息，进而泄漏用户的个人隐私。

防范CSRF攻击的方法

为了不CSRF攻击，我们可以采取以下方式进行防范：

1. 增加验证码：在重要操作（如转账、定单提交等）时，增加验证码的校验，从而确保该操作是由用户本人发起的。
2. Referer校验：在HTTP要求中加入Referer字段，并验证该字段值，从而确认要求会不会来自该网站本身。
3. 加入随机令牌：在访问重要操作时，Web利用会在页面中生成一个随机的token，每次提交时验证该token会不会正确，从而肯定该操作是由用户本人发起的。
4. 使用双因素认证：通过使用双因素认证机制（如密码+短信验证码等），增加用户账户的安全性和可信性。
5. 尽可能使用POST方式提交数据：由于使用POST方式提交数据的要求不会被浏览器缓存，从而下降了被攻击的可能性。
6. 定期更新密码：用户应当定期更换密码，以避免被攻击者获得到用户账户的登录信息。
7. 对敏感操作进行网络隔离：应当对敏感操作（如转账、定单提交等）进行网络隔离，避免被攻击者利用CSRF漏洞进行歹意操作。

桂}哥}网}络www.gUIgege.cn