CSRF澄清

Question

我试图确定以下内容是否可归类为网站上的CSRF（跨站点请求伪造）漏洞：

如果website-1.com包含以下代码：<img src = "http://website-2.com/img.png"></img>和＆＃34; http://website-2.com/img.png＆＃34;执行302重定向到website-1.com上的某些敏感内容，例如http://website-1.com/delete.php?file=test.jpg和＆＃34; test.jpg＆＃34;是成功删除，是CSRF攻击，即使恶意内容嵌入在website-1.com而不是第三方网站上？

感谢您的帮助

Answer 1

使用简单的GET请求进行删除是一种非常糟糕的做法，使CSRF攻击变得容易。

从网站2到http://website-1.com/delete.php?file=test.jpg的纯链接会导致文件被删除吗？如果没有，那么必须有某种CSRF保护。但是还有许多其他事情需要注意以确保CSRF不可能（例如，如果/如何准确实施CSRF令牌或者哪种用户内容站点允许，两个站点的管理员相互信任等等）。根据您的有限信息，我认为网站易受攻击。