考虑使用HTTPS协议的网站。
使用HTTPS时，协议是否使用证书来识别客户端？
如果某个黑客在制作CSRF后加密了cookie，他是否还需要获得SSLl认证才能进一步使用？
如果黑客没有SSL认证，黑客如何使用网站中的客户数据？
答案 0 :(得分：0)
要启动CSRF攻击，黑客无需知道证书或cookie。 CSRF攻击有效，因为如果任何网页包含example.com标记，浏览器会自动将Cookie发送到服务器<img src="https://example.com/">。
例如，example.com允许用户在其论坛上投票。假设当用户点击“upvote”按钮时，它会向https://example.com/vote.php?id=12345发送请求。如果网站不使用任何反CSRF技术，攻击者可以在其网站<img src="https://example.com/vote.php?id=12345>"上添加https://evil.com标记。然后，如果已登录example.com的用户稍后在同一浏览器中访问https://evil.com，则他会在没有任何通知的情况下投票。
我猜你在man-in-the-middle（MITM）攻击和CSRF攻击之间感到困惑，这些攻击完全不同。当你说
如果他没有得到它，他会得到一个加密的cookie，如果没有这个认证，他怎么能更远地使用这个cookie呢？
你描述了MITM攻击。 MITM攻击者拦截用户和服务器之间的流量。他们尝试记录以明文形式发送的cookie，并使用cookie进行身份验证。 HTTPS已经阻止了这样的攻击。攻击者无法解密HTTPS流量。