本文目录一览：
什么是CSRF攻击，如何预防
CSRF攻击，全称为“Cross-site request forgery”，中文名为跨站请求伪造，也被称为“One Click
Attack”或者“Session Riding”，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
XSS主要是利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求，来利用受信任的网站。与XSS相比，CSRF更具危险性。
CSRF攻击的危害：
主要的危害来自于攻击者盗用用户身份，发送恶意请求。比如：模拟用户发送邮件，发消息，以及支付、转账等。
如何防御CSRF攻击：
1、重要数据交互采用POST进行接收，当然POST也不是万能的，伪造一个form表单即可破解。
2、使用验证码，只要是涉及到数据交互就先进行验证码验证，这个方法可以完全解决CSRF。
3、出于用户体验考虑，网站不能给所有的操作都加上验证码，因此验证码只能作为一种辅助手段，不能作为主要解决方案。
4、验证HTTP Referer字段，该字段记录了此次HTTP请求的来源地址，最常见的应用是图片防盗链。
5、为每个表单添加令牌token并验证。
【信息安全应知应会】以下哪些是物理安全攻击的相关手段?
XSS攻击和CSRF攻击。
攻击手段有：
1、XSS攻击(CrossSiteScripting)全称跨站脚本攻击：是一种常见的攻击手段之一，攻击者主要通过嵌入恶意脚本程序，当用户打开网页时，脚本程序便在客户端的浏览器中执行，以盗取客户端cookie，用户名密码，下载执行病毒木马程序等。
2，CSRF攻击(CrossSiteRequestforgery)全称跨站请求伪造：攻击者盗用你在某网站的身份如cookie，以你的名义向该网站发送恶意请求。这个就比较可怕了，能够利用你的身份发邮件，发短信，甚至转账，盗取账号等。
XSS与CSRF有什么区别吗？
XSS是获取信息，不需要提前知道其他用户页面的代码和数据包。CSRF是代替用户完成指定的动作，需要知道其他用户页面的代码和数据包。要完成一次CSRF攻击，受害者必须依次完成两个步骤：
登录受信任网站A，并在本地生成Cookie。
在不登出A的情况下，访问危险网站B。
CSRF的防御
服务端的CSRF方式方法很多样，但总的思想都是一致的，就是在客户端页面增加伪随机数。通过验证码的方法。
by三人行慕课
