CSRF是什么？

跨站请求伪造(Cross Site Request Forgery，CSRF)是一种攻击，它强制浏览器客户端用户在当前对其进行身份验证后的Web 应用程序上执行非本意操作的攻击，攻击的重点在于更改状态的请求，而不是盗取数据，因为攻击者无法查看伪造请求的响应。
借助于社工的一些帮助，例如，通过电子邮件或聊天发送链接，攻击者可以诱骗用户执行攻击者选择的操作。如果受害者是普通用户，则成功的CSRF 攻击可以强制用户执行更改状态的请求，例如转移资金、修改密码等操作。如果受害者是管理账户，CSRF 攻击会危及整个Web 应用程序。

CSRF是跨站请求伪造攻击，它不像XSS和SQL注入会盗取用户的信息，它的目的是强制浏览器客户端用户执行攻击者想要用户达成的目的，也就是更改用户状态的请求，如：转移资金和修改密码等操作，它分为get型和post型攻击。

xss攻击是什么？

XSS全称是Cross Site Scripting即跨站脚本，当目标网站目标用户浏览器渲染HTML文档的过程中，出现了不被预期的脚本指令并执行时，XSS就发生了。

作为一种HTML注入攻击，XSS攻击的核心思想就是在HTML页面中注入恶意代码，而XSS采用的注入方式是非常巧妙的。在XSS攻击中，一般有三个角色参与：攻击者、目标服务器、被攻击者的浏览器。

XSS攻击时一种HTML的注入攻击，它通过在浏览器页面注入恶意代码，并让这段代码成功执行，从而对用户的服务器进行攻击。

下面这段是一段简单的JavaScript代码，它的功能是弹出一个对话框显示用户的cookie信息，如果攻击者将这段代码注入到HTML页面中，当用户访问该页面时，这段代码就会被执行，从而显示用户浏览器的cookie信息

<script>
alert(document.cookie);
</script>

CSRF和XSS有什么区别？

CSRF 攻击不需要将恶意代码注入用户的页面，仅仅是利用服务器的漏洞和用户的登录状态来实施攻击
CSRF 攻击成本也比 XSS 低，用户每天都要访问大量网页，无法确认每一个网页的合法性，从用户角度来说，无法彻底防止 CSRF 攻击

XSS 是一种注入攻击，其目的是在网站上植入恶意Javascript代码，然后当用户浏览这个网站时，恶意脚本就会在用户的浏览器上运行，以获取用户信息或执行恶意操作。

CSRF 是一种跨站请求伪造攻击，利用的是用户对恶意网站的权限，攻击者会在用户浏览某个网站时，通过伪装成一个受信任的网站发送请求，CSRF 通过利用用户的身份信息，从而让用户无意识地执行恶意操作。这些操作通常是由第三方发起的，而用户并不知情。

两者的主要区别：

• XSS 攻击主要目的是获取用户的隐私信息，而 CSRF 攻击的目的则是让用户执行恶意操作。
• XSS 攻击通常会通过植入恶意脚本来实现，而 CSRF 攻击则通常会通过伪装受信任网站的请求来实现。
• XSS 攻击可能会对用户造成直接的损害，而 CSRF 攻击则是在用户不知情的情况下进行的，因此用户可能并不会意识到自己受到了攻击。

CSRF是跨站请求伪造攻击，XSS是跨站脚本攻击，XSS攻击会窃取用户的信息，而CSRF只更改用户的状态，执行攻击者想达成的操作，不窃取信息；XSS是一种注入攻击，比CSRF攻击特征更加明显，可能会被用户察觉，而CSRF会在用户不知情的情况下进行，用户不会察觉。