Token如何防止CSRF漏洞

Token如何防止CSRF漏洞

Token如何防止CSRF漏洞

CSRF的主要问题是敏感操作的链接容易被伪造，因此每次请求，都添加一个随机码（需要足够长度，足够随机，不容易被伪造），后台每次对这个随机码进行验证。

实验环境：
皮卡丘靶场—CSRF Token

实验步骤：

1. 输入用户名和密码：lucy/123456

2. 修改信息，将ShangHai修改为ShangHai xxx，并且用burpsuite抓包，可看见响应头设置的Token值。
   

3. 查看后端源代码，发现input标签里面有个token：
   

4. 将响应头复制出来进行修改 再重新访问URL，发现已经无法修改内容：
   localhost/pikaqiu/vul/csrf/csrftoken/token_get_edit.php?sex=Female&phonenum=123456789&add=ShangHaiyyyy&email=lucy%40qq&token=204866055a6194c069448471795&submit=submit HTTP/1.1