任何的网站功能（互联网），本质是什么？ 数据包的传递
**Cookie : 你的身份，你的权限 （存在浏览器里面） **
**浏览器在你不知情的情况下偷偷的发送了数据包 （信任） **
** 你主动访问的某个站点，代表你信任那个站点
**（ajax 异步传输）通过JS去发送请求，然后获取信息
1、存在CSRF漏洞
2、黑客要自己做一个貌似合理的页面骗受害者来点击
** 你设置的网页，他是有指向性的 （百度、QQ存在CSRF）
3、目标登录过这个网站权限没有掉
钓鱼网站（要你自己输入账号密码）
我是一个憨憨网站管理员，今天工作的时候某黑客给我发了个网站，我脑子进水顺手点进去一看，结果黑客的网站有一条恶意js是针对我的网站的，刚好我的网站也在线，黑客正好就利用我的账号权限把网站黑了改了
（无痕浏览、隐私模式） 1、不会留下历史记录 2、和正常模式做隔离
XSS : 窃取Cookie [你能获取Cookie]
CSRF : 利用Cookie [不能获取，借用]
CMS : 源码是固定的，数据包可以构建 [管理员后台添加管理员]
用户改用户 :
1、A的用户
2、任何用户的数据包构成都是相同的 [修改电子邮箱]
3、你喜欢的那个东西在某某上面似乎有的卖
网站：
Token (唯一解) ： Cookie里面有一段随机值，和请求包里面的GET或者POST传参有一个关联
没有Token就可能有CSRF
找一个站，登录A用户，修改自己的账号密码。然后把数据包做成CSRF
换个浏览器，登录B,点击做好的CSRF，只要能修改就是了
1、项目上CSRF都是认了
2、浏览器CORS的问题，不同的网站发送JS请求他会主动拦截删除Cookie
dedecms
很强大的后台
CMS发现CSRF
本地构建
再构建一个页面，然后把恶意的HTML塞进去
让他访问
<iframe src="http://59.63.200.79:8003/" width="0" height="0"/>
CSRF + 反射型XSS + corn 组合拳