早上開心的事就是，睡醒的時候，看到你昨天晚上回我的，我來不及看到的內容。。。。
---- 網易雲熱評
xss直接盜取了用戶的權限，利用獲取的cookie登錄後臺，在進行進一步操作。
csrf是藉助用戶的權限完成攻擊，僞造一個攻擊的鏈接，讓用戶在登錄狀態下點擊此鏈接，從而達到攻擊的目的。
一、漏洞可能存在的地方
1、站點的增刪改查處；
2、cookie的有效期較長的
二、漏洞利用
1、 http://192.168.1.129/dvwa/vulnerabilities/csrf/，該頁面存在漏洞，輸入原始密碼，及要修改的密碼
2、打開burpsuite，抓包，將找到修改密碼的包發送到重發器
3、右擊，選擇相關工具–》csrf poc生成
4、點擊瀏覽器測試，複製生成的網址並在瀏覽器打開
5、退出DVWA，重新登錄，發現密碼已經修改爲123456，測試成功
6、點擊上面複製HTML，然後新建一個html文件，把內容粘貼進去並重新設定密碼爲password，然後用瀏覽器打開該文件，點擊按鈕
7、直接跳轉到修改密碼的頁面，登出驗證，發現密碼又被修改回來了。
禁止非法，後果自負
歡迎關注公衆號：web安全工具庫
