首先介紹CSRF的攻擊原理，我們才能更好進行攻擊。
CSRF攻擊原理
CSRF（Cross-site requestforgery跨站請求僞造，原理攻擊者通過僞裝成受信任用戶向目標服務發送請求實現攻擊。
攻擊過程如下：
生成cookie：用戶A通過輸入賬號/密碼登錄網站web1，此時瀏覽器將登錄狀態記錄到本地cookie中；
獲取cookie：攻擊中構建一條惡意網站web2的鏈接，受害者打開惡意鏈接後，將把本地保存的cookie信息送到惡意網站web2；
僞造攻擊：網站web2通過收到的用戶A的cookie值，向網站web1發起惡意請求，例如轉賬支付，獲取身份信息等目的。
使用到的工具：fiddler抓包工具，Jmeter
攻擊步驟
1，獲取cookie值
登錄網站，通過fiddler抓包工具，獲取登錄成功後的請求頭中的cookie值。大家肯定奇怪，明明訪問首頁的時候就已經生成了cookie值，爲什麼還登錄呢？雖然cookie值在打開首頁時就已經生成，但此時的值未與具體用戶關聯，最多爲遊客的cookie值，因很多權限登錄成功後才能訪問，只有登錄成功後纔會將cookie值與用戶進行關聯。
2，實現CSRF攻擊
1）在Jmeter中添加“HTTP Cookie管理器”;
填寫cookie值，一般是JSESSIONID和域名；
2）添加攻擊請求
添加進行攻擊的目標請求地址和請求參數；
3）發起攻擊
執行請求，查看結果。
成功實施攻擊。
至於如何去修復這個漏洞，只能有勞開發大伽們了。