用途：本技能面向安全测试人员，提供CSRF（跨站请求伪造）漏洞的检测、利用与防护方法论，用于在授权测试中评估目标站点敏感操作是否缺乏有效防护。
主要能力：识别密码修改、邮箱修改、转账、权限变更、数据删除、状态更新等敏感操作；检测是否存在CSRF Token保护并验证Token是否可预测、可重复使用或跨请求共享；检查Referer验证是否可被绕过（如子域名、空Referer）；覆盖基础表单自动提交、JSON CSRF、GET请求CSRF等利用方式，以及Token绕过、SameSite Cookie绕过、双重提交Cookie等绕过技术。
使用方式：可借助Burp Suite拦截目标请求后，通过右键 Engagement tools → Generate CSRF PoC 生成并测试PoC；也可使用OWASP ZAP扫描，命令为：zap-cli quick-scan --self-contained --start-options '-config api.disablekey=true' http://target.com。验证时需确认目标操作无Token保护、构造恶意请求验证可执行、评估影响并记录完整PoC。
适用场景：Web应用安全评估、渗透测试中的CSRF专项检查、漏洞报告与修复建议编写。
限制与注意事项：仅在授权测试环境中进行，避免对用户账户造成实际影响，记录所有测试步骤，并考虑不同浏览器行为差异。防护建议包括CSRF Token、SameSite Cookie、双重提交Cookie与Referer验证。具体收费、平台支持范围等资料暂未提供。