目录介绍：

• 1、XSS与CSRF有什么区别吗？
• 2、【信息安全应知应会】以下哪些是物理安全攻击的相关手段?
• 3、什么是 CSRF 攻击，如何避免

XSS与CSRF有什么区别吗？

XSS是获取信息，不需要提前知道其他用户页面的代码和数据包。CSRF是代替用户完成指定的动作，需要知道其他用户页面的代码和数据包。要完成一次CSRF攻击，受害者必须依次完成两个步骤：

登录受信任网站A，并在本地生成Cookie。

在不登出A的情况下，访问危险网站B。

CSRF的防御

服务端的CSRF方式方法很多样，但总的思想都是一致的，就是在客户端页面增加伪随机数。通过验证码的方法。

by三人行慕课

【信息安全应知应会】以下哪些是物理安全攻击的相关手段?

XSS攻击和CSRF攻击。

攻击手段有：

1、XSS攻击(CrossSiteScripting)全称跨站脚本攻击：是一种常见的攻击手段之一，攻击者主要通过嵌入恶意脚本程序，当用户打开网页时，脚本程序便在客户端的浏览器中执行，以盗取客户端cookie，用户名密码，下载执行病毒木马程序等。

2，CSRF攻击(CrossSiteRequestforgery)全称跨站请求伪造：攻击者盗用你在某网站的身份如cookie，以你的名义向该网站发送恶意请求。这个就比较可怕了，能够利用你的身份发邮件，发短信，甚至转账，盗取账号等。

什么是 CSRF 攻击，如何避免

CSRF攻击，全称为“Cross-site request forgery”，中文名为跨站请求伪造，也被称为“One Click Attack”或者“Session Riding”，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。

XSS主要是利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求，来利用受信任的网站。与XSS相比，CSRF更具危险性。

如何防御CSRF攻击?

1、重要数据交互采用POST进行接收，当然POST也不是万能的，伪造一个form表单即可破解。

2、使用验证码，只要是涉及到数据交互就先进行验证码验证，这个方法可以完全解决CSRF。

3、出于用户体验考虑，网站不能给所有的操作都加上验证码，因此验证码只能作为一种辅助手段，不能作为主要解决方案。

4、验证HTTP Referer字段，该字段记录了此次HTTP请求的来源地址，最常见的应用是图片防盗链。

5、为每个表单添加令牌token并验证。