摘要：
免责声明请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及... 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，狐狸说安全及文章作者不为此承担任何责任。
0x01漏洞概述
黑客利用已经登录的用户，诱使其访问或者登录某个早已构造好的恶意链接或者页面，然后再用户毫不知情的情况下，以用户的名义完成了非用户本意的非法操作。
这种攻击我们也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF,是一种对网站的恶意利用行为。
与XSS攻击相比，CSRF攻击往往不大流行（因此对其防范的资源也相当稀少）和难以防范。
浏览器同源策略
1995年，同源策略由Netscape公司引入浏览器。目前，所有浏览器都实行这个策略。最初，他的含义是指：
A网页设置的Cookie，B网页不能打开，除非这两个网页“同源”。所谓同源指的是“三个相同”
协议相同域名相同端口相同
同源策略目的
Cookie包含隐私（比如存款总额），这些信息就会泄露。更可怕的是，COokie往往用来保存用户的登录状态，如果用户没有退出登录，其他网站就可以冒充用户。
场景：A网站是一家银行，用户登录以后，又去浏览其他网站，如果其他网站可以读取A网站的Cookie，会发生什么？
为了保证用户信息的安全，防止恶意的网站窃取数据。
限制范围
共有三种行为收到限制：
1.当前域名或者父域名下的COokie2.当前路径或父路径下的Cookie0x01漏洞概述
0x02CSRF分类
CSRF(Cross-Site Request Forgery)，跟XSS漏洞攻击一样，存在巨大的危害性。
你可以这么来理解:攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等
1.GET类型的CSRF
1.GET类型的CSRF
