# CSRF漏洞
# CSRF漏洞检测
> 用 pikachu靶场做演示
## 半自动检测
### 用BurpSuite检测
登录账号
点击**“修改个人信息”**，开启抓包，将性别boy改成girl。
鼠标右键选择“Engagement tools”——“Engagement tools”
把生成的html代码复制到新建的html文件中：
```html
```
丢掉之前抓到的包(即性别还是boy)，关闭抓包，把html文件拖到浏览器中：
点击按钮，可以看到性别变成了girl，说明存在CSRF漏洞。
### CSRF Tester
## 全自动化
### Bolt
```
bolt.py -u http://xxxx
```
# CSRF漏洞防御
1. 通过请求头`Referer`判断请求是否从当前网站发起。
2. 通过Token比对判断。
3. 二次验证：
1. 输入旧密码
2. 人机验证
3. 短信验证码
4. 扫码
5. 人脸识别
4. 浏览器的保护措施。