个人理解

当被攻击用户登陆访问网站时，在保持登陆状态时点击小黑子（黑客）搭建的恶意链接而导致用户受到攻击。
举个例子
我去攻击网站，但是我找不到漏洞，这个时候我注册一个账号，发现存在cxrf漏洞，我进入登录页面获取信息然后构造一个链接，此链接的功能是修改密码。我将此链接发送给目标，当目标在登陆网页时，并保持登陆状态，点开了我的链接此时他的密码就已经修改了，我就可以登陆她的账号。如果这个人时网站管理人拥有管理员权限，那我相当于控制了这个网站。

get

在此页面可以发现url栏已经将账号密码回显出来了没有什么过滤。

抓个包看看，在burp中将账号密码修改然后放包发现可以修改成功。
在攻击他人时我们无法抓取别的的包，但是我们可以吧刚修改密码的链接拷贝下来，想方设法的发给对方，当对方恰好在访问此网站时，又恰好点击了这个链接就可以完成修改密码。以自己为例，在登陆页面的url拼接修改密码的链接，发现刚好可以修改成功密码和其它信息。

POST

登陆页面保持登陆状态

抓包然后如图操作在此页面修改然后点击红圈copy这个链接在保持登陆状态时新开一个网页访问此链接就可以修改密码等信息