电子邮件客户端中通过图片标签的CSRF攻击
引言
当人们想到跨站请求伪造（CSRF）时，通常想象的是攻击者诱骗受害者点击恶意链接或访问陷阱页面。
但如果不需要点击呢？
如果仅仅接收一封电子邮件——并让您的电子邮件客户端自动预览它——就足以在目标网站上触发经过身份验证的操作呢？
欢迎来到通过嵌入电子邮件正文中的<img>标签实现CSRF的微妙但危险的世界——这是一种利用自动预览和经过身份验证的浏览器会话造成实际损害而无需交互的攻击向量。
什么是CSRF？
CSRF（跨站请求伪造）是一种攻击，它欺骗用户的浏览器在他们已通过身份验证的网站上发出不需要的请求。
经典示例：
|
|
如果用户登录了bank.com，他们的浏览器会带着cookies发送请求——在没有同意的情况下启动转账。
现在，将其与电子邮件结合
创建一个帐户以阅读完整故事。 作者仅向Medium会员提供此故事。
如果您是Medium的新用户，请创建一个新帐户来阅读此故事。