wangxiaoer
2016-09-16 22:14:39 +08:00
我也是醉了，还不让转载，复制.
"其实 CSRF 并不一定非要借助受害用户的浏览器，黑客可以自己写脚本伪造出一个和真实的 http 请求一模一样的数据包发给你的服务器，前提是你的这个 http 接口中的所有参数都是可以预期的。
需要说明的是，对于广义的 CSRF ，是我自己的理解，在这一点上可能与书本上所讲的内容存在一些出入。"
这是误解，这种直接通过其他途径获取到用户身份如 cookie 的啥的，然后伪造后台直接伪造请求，不属于 CSRF 的范畴。
“要实现 CSRF 的关键，在于找到 XSS 漏洞”
你是在逗我吗？这俩有个半毛钱关系？两者的确可以结合起来做攻击，但是原理半毛钱关系都没有。
CSRF 的本质是“攻击者在受害者不知情的情况下以受害者的身份发送某些敏感操作到服务端”，这种防范很简单， Http Referer 判断就可以，只不过由于担心浏览器漏洞使得 referer 被篡改，大部分都采用 token 的方式。
所以对于真正的 Restful 服务来讲是不存在 CSRF 攻击的，因为他是无状态的，而发动 CSRF 恰恰需要利用的就是这个状态（一般是 cookie ）。
下面的已经看不下去了，楼主还是多看看相关的概念，细细品味品味。