CSRF和越權(quán)
近日使用burp測試系統(tǒng)的時候發(fā)現(xiàn)了一些疑似CSRF益眉，經(jīng)驗證都是越權(quán)而非CSRF吼蚁。總結(jié)了以下幾點鉴扫。當(dāng)然身害，也可能就是CSRF味悄，自己水平不夠沒能挖掘出來。先記下來塌鸯，如果有懂的大牛侍瑟，可以指點一下。
一丙猬、相似之處
二者的成因都是利用cookie涨颜，沒有對請求沒有做嚴(yán)格控制，服務(wù)器端執(zhí)行了惡意請求茧球，最后被攻擊庭瑰。
二、區(qū)別
1抢埋、CSRF攻擊者不需要登錄弹灭，越權(quán)攻擊者也得登錄，只是沒有做針對性的控制揪垄；
2穷吮、CSRF攻擊者自己不訪問受攻擊頁面，誘導(dǎo)受害者在登錄被攻擊系統(tǒng)后點擊攻擊頁面饥努；越權(quán)攻擊者可以直接訪問受攻擊頁面捡鱼；
3、CSRF一般受同源策略的限制酷愧，沒有返回值驾诈，只能提交請求，越權(quán)可以執(zhí)行并獲取返回值溶浴，只是返回值超出了自身賬戶的權(quán)限翘鸭。
4、CSRF可以用工具自動生成POC戳葵，越權(quán)則對比兩個不同參數(shù)的請求返回值的不同即可就乓。
