Cross-site request forgery 简称为“CSRF”，在CSRF的攻击场景中攻击者会伪造一个请求（这个请求一般是一个链接），然后欺骗目标用户进行点击，用户一旦点击了这个请求，整个攻击就完成了。所以CSRF攻击也成为"one click"攻击。很多人搞不清楚CSRF的概念，甚至有时候会将其和XSS混淆,更有甚者会将其和越权问题混为一谈,这都是对原理没搞清楚导致的。
打个比方：你登录了网页qq，你的好友发送了一个连接说：哥们给你看个好东西，你懂的图片。你点击过后发现网页qq退出了，密码登陆不上了，就是因为这个连接里面包含了一个修改qq密码的请求，这就是CSRF攻击。
CSRF攻击的前置条件：同浏览器在不退出网站A的情况下，访问网站B（不安全的连接）
本篇文章会使用pikachu的靶机演示CSRF攻击方法。
搭建方法：中文版Pikachu web靶机平台搭建指南，英语小白的福音
实战
1.打开burpsutie后，登录用户，点击修改个人信息。
2.查看burpsutie，放入Send to Repeater中修改内容重放，刷新页面发现修改成功。
3.点击右键生成一个CSRF poc页面，修改内容。
4.复制代码后，在自己的电脑上面新建一个txt文件用来模拟一个网站。注意是模拟哈。把刚刚复制的内容粘贴进去，保存。
5.修改文件后缀名为html页面文件。
6.使用同浏览器打开html文件，点击页面中的submit request，会发现跳转到了被修改的页面，页面中的内容也已经修改为想要的值。攻击成功。
注意：该步骤主要是演示跨站的情况，如果被攻击者点击后的效果，现实攻击中这个页面肯定不会这么粗糙，会伪装成各种充满诱惑的连接，你懂的。
网站如果有Token查看：BurpSuite进阶篇--自动识别Token值
总结：不要去访问一些非法网络，降低被攻击的风险，如果非要访问，当我没说。
