ps：图片可单击扩大观看。 银行网站A违反了HTTP规范，运用GET恳求更新资源。 在拜访风险网站B的之前，你现已登录了银行网站A，而B中的<img>以GET的方 式恳求第三方资源（这儿的第三方便是指银行网站了，本来这是一个合法的恳求，但这儿被不法分子运用了），所以你的浏览器会带上你的银行网站A的 Cookie宣布Get恳求，去获取资源“http://www.mybank.com/Transfe...money=1000”，成果银行网站服务器收到恳求后，以为这是一个更新资源操作（转账操作），所以就马上进行转账操作。 参阅深化解析跨站恳求假造缝隙：原理分析(中所述，XSS与CSRF的差异在于：收集方针的情报信息是一个十分重要的环节。 能够大大提高浸透测验的成功性。 收集浸透方针情报一般是对方针体系的剖析，扫描勘探，服务查点，查找对方体系IP等，社会工程学在浸透测验中也十分有。 浸透测验者会极力收集方针体系的装备，whois，主机ip段，公司人员，安全防护以及防火墙等信息。

当然这种朴实的暴力破解需求消耗很长时刻，更好的办法是运用暗码字典。