Web安全漏洞及代码审计（第2版）（微课版）备课教案 第六章 靶机跨站请求伪造漏洞与审计.docx

《Web安全漏洞及代码审计（第2版）（微课版）》课程教案

课题：靶机跨站请求伪造漏洞与审计

教学目的：

知识目标：掌握跨站请求伪造漏洞的成因、攻击原理和利用方式，理解攻击者如何利用用户已登录的身份执行非预期操作；熟悉GET型CSRF、POST型CSRF、JSONCSRF等不同攻击场景的实现方式；学习如何构造恶意链接、恶意表单、JSONP劫持等CSRF攻击载荷；学习CSRFToken、SameSiteCookie、Referer验证、二次确认等CSRF防护技术。

能力目标：能够独立搭建靶机环境，复现各类CSRF漏洞；掌握手工构造CSRF攻击载荷的方法，能够手动完成CSRF攻击；熟练