XSS跨站以及CSRF攻擊，在目前的滲透測試，以及網站漏洞檢測中 ，經常的被爆出有高危漏洞，我們在對客戶網站進行滲透測試時，也常有的發現客戶網站以及APP存在以上的漏洞，其實CSRF以及XSS跨站很容易被發現以及利用，在收集客戶網站域名，以及其他資訊的時候，大體的注意一些請求操作，前端輸入，get,post請求中，可否插入csrf代碼，以及XSS代碼。
很多客戶的網站都有做一些安全的過濾，都是做一些惡意參數的攔截，檢測的字段也都是referer檢測以及post内容檢測，在http頭，cookies上并沒有做詳細的安全效驗與過濾，今天主要講一講如何檢測csrf漏洞以及csrf防護辦法，防止xss csrf的攻擊。
通常我們在滲透測試客戶網站是否存在csrf漏洞，首先采用點選的形式去測試漏洞，在一個網站功能上利用點選的方式繞過安全效驗與攔截，從技術層面上來講，點選的請求操作來自于信任的網站，是不會對csrf的攻擊進行攔截的，也就會導緻CSRF攻擊。再一個檢測漏洞的方式更改請求方式，比如之前網站使用的都是get送出方式去請求網站的後端，我們可以僞造參數，抓包修改post送出方式發送過去，就可以繞過網站之前的安全防護，直接執行CSRF惡意代碼，漏洞産生的原因就是，網站開發者隻針對了GET請求方式進行安全攔截，并沒有對post的方式進行攔截，導緻漏洞的發生。有些客戶網站使用了token來防止XSS跨站的攻擊，在設計token的時候沒有考慮到空值是否可以繞過的問題，導緻可以token為空，就可以直接将惡意代碼傳入到後端中去。還有的網站APP沒有token的所屬賬戶進行效驗，導緻可以利用其它賬戶的token進行CSRF代碼攻擊。
那如何防止XSS csrf攻擊？ 如何修複該網站漏洞