（4）与XSS的区别

CSRF(Cross-site request forgery)和XSS(Cross-site scripting)都是Web应用程序中常见的安全漏洞，但它们攻击方式、作用目标和防御手段不同。

攻击方式：XSS主要是通过在受害者浏览器上运行的恶意脚本来实现攻击，而CSRF通常利用验证机制的缺陷，使得攻击者通过操纵受害者的账户来执行非法操作。

作用目标：XSS主要影响用户端浏览器，导致被攻击网站或应用程序上存在的漏洞，可以被恶意脚本攻击并获取用户数据。而CSRF则主要影响服务端，攻击者可以伪造请求和数据来欺骗服务器程序执行不安全或有害的操作（如购买产品、更改密码等）。

防御手段：XSS漏洞可以采用输入过滤、转义输出等手段进行防御；而避免CSRF漏洞则需要采用Token、Referer、SameSite Cookie属性等措施。

综上所述，虽然两种漏洞都危害严重，但是他们的侧重点不同，因此相应的防御也有所不同。

（5）CSRF的防御

• 验证Referer字段
• 添加Token验证
• 二次验证：在关键操作之前，再输入密码或者验证码。
• HttpOnly：某些情况下禁止JS 脚本访问Cookie 信息。
• SameSite：Cookie 属性，浏览器自带的安全机制。

资料参考：https://zhuanlan.zhihu.com/p/398601816 

https://www.cnblogs.com/yblackd/p/14533436.html

三、NSSCTF上的题

在解这个题之前，需要先了解以下Phar伪协议

用于将多个 PHP 文件、类、库、资源（如图像、样式表）等打包成一个单独的文件。这个归档文件可以像其他 PHP 文件一样被包含（include）或执行。PHAR 归档提供了一种方便的方式来分发和安装 PHP 应用程序和库，尤其是当它们包含许多文件和目录时

 1.phar 伪协议无论读取什么文件，都会将其视为压缩包进行解压缩，然后作为 php 代码执行，在文件上传类漏洞中经常被用到。

2.Phar伪协议是PHP的一个特性，它允许直接从Phar归档中读取文件，而不需要将Phar文件解压。这样可以直接从Phar文件运行PHP脚本，而无需在服务器上物理地提取文件。

例如，如果你有一个名为example.phar的Phar归档文件，你可以通过以下URL运行其中的PHP脚本：

phar://example.phar/somefile.php

在这个URL中，phar://是协议，example.phar是Phar文件的名称，somefile.php是Phar文件中的一个PHP文件。

相关例题([NISACTF 2022]bingdundun~)： 

1.进入页面，观察到url有参数bingdundun，根据提示，随便上传一个jpg文件，发现url变成了上传php文件

那么猜测前面在输入 ?bingdundun=upload 时会自动添加 .php 后缀名，因为两种 URL 指向同一个页面，说明 ?bingdundun= 包含的就是 upload.php 文件。fuzz 一下，发现确实只能上传图片和压缩包。那么猜测是用 phar 伪协议进行文件包含

注意：phar 伪协议无论读取什么文件，都会将其视为压缩包进行解压缩，然后作为 php 代码执行，在文件上传类漏洞中经常被用到。 

2.建立一个有一句话木马的php文件，将它压缩成一个zip

3. 上传这个压缩包

4. 构造payload，利用phar伪协议，因为此页面会自动加上.php后缀，所以这里没写

?bingdundun=phar://102bf3460d121e159ba5d237f8dadd32.zip/shell

5.使用蚁剑链接，连接成功在根目录下找到flag

 [SWPUCTF 2022 新生赛]xff

1.进入页面，发现必须从小红的电脑上访问

2.根据题目的提示，抓包进行修改XFF

 3.修改XFF，发现回显，必须从主页跳转，于是添加Referer，得到flag

XFF:告诉服务器当前请求者的最终IP。在一些情况下，攻击者可能会尝试伪造X-Forwarded-For字段来隐藏其真实IP地址，因此在使用XFF时需要谨慎验证其真实性。

Referer:它的作用是指示一个请求是从哪里链接过来，那么当一个请求并不是由链接触发产生的，那么自然也就不需要指定这个请求的链接来源。