课程内容
csrf
原因
请求参数未经严格校验，使得请求可以被伪造
危害
诱导用户执行非本意的操作
盗号
诱使用户发送政治敏感信息
ddos
挖掘
能看懂所有的请求，就说明存在csrf
利用
使用bp构造csrf poc
引用js直接发送ajax请求
防御
加入可变参数
让请求参数不可读(人不可读)
绕过防御
做一个模仿者
csrf+xss
组合拳，使用xss，让用户伪造请求。
jsonp
jsonp本是一种开发中的技巧。为了逃避同源策略。
大家有时候用这种骚操作去传敏感信息，但没鉴权，导致敏感信息泄漏。
应用
蜜罐获取攻击者信息
蜜罐通过各个社交网站的jsonp漏洞，获取攻击者的社交媒体信息