比较会话值和隐藏表单是否足以防止CSRF？

Question

因此，“典型”的CSRF保护方法是在会话中和隐藏的表单元素中存储一个随机数。攻击网站是否有可能首先使用受害者的会话刮取目标表单，获取隐藏的表单标记，然后将令牌发送到它们自己的表单元素中？测试这个我自己，它验证。我只是很好奇，如果一个机器人可能会抓取页面并获得随机数。

如果这是可能的，那么如何防范这种类型的攻击呢？

Answer 1

如果攻击者可以抓取受害者的页面，他不需要使用CSRF，因为他基本上可以对用户的数据做任何事情。这实际上被称为session hijacking并且有other ways of defending the user from it。