CSRF记录

CSRF（Cross-site request forgery）跨站请求伪造：攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目的。

攻击场景

GET型CSRF
<img src=http://xxx.org/csrf.php?xx=1 />
访问页面后就成功向http://xxx.org/csrf.php 发送了一次请求

POST型CSRF
使用一个自动提交的表单，模拟用户完成一次POST操作

JSON劫持攻击

CSRF蠕虫

flash CSRF

头像可控+csrf=无交互的csrf
图片可控有很多玩法