cuando dije "de formularios" me refería (obviamente) via post, quizá me expresé mal, pero quería que entendieses cuales son las 2 aplicaciones. POST = Formularios, GET = URL.
El tema del javascript, es que el javascript corre por parte del usuario...si navegas por una web que haga uso de este tipo de CSRF para cambiar datos es cosa tuya, no de Fotolog.


Un saludo mexicanitos jajaja =)

vamos a ver... jajaja estás muy puntilloso eh amigo xD
claro que get != url pero su principal aplicación es esa, vale que el bbcode tambien interprete, pero los bbforums representan un pequeño porcentaje respecto de todos los codes...

bueno, no digo más que capaz ers de corregirme hasta las tildes... jajajaja

un saludo

Aver, yo estoy aclarando algunas cosas que dijo tragantras y hice una pregunta y si no la aclaro pueden aver pregunta como:
¿Porque GET se transporta por url y POST se transporta por formularios, ya porque los metodos GET y POST son metodos de envio HTTP y en este caso se usa un formularios que se envia por metodos GET o POST pero los dos metodos se estan enviando por formularios ya que se declara el envio de informacion del formulario por metodo GET o POST y creo que los dos se envian por formulario y no uno por url y el otro por formulario?

Aprende algunos conceptos, como seguro sabes que es una URL, aprende bien el conceptos de una peticion GET y POST.

dos furmoulario, GET, POST? mira que yo nunca soy de pelear pero se ve que no tenes idea, el GET puede ser por formulario, nose si habras codeado alguna vez en php, pero sabras que el metodo post se utiliza cuando se hace un submit en un formulario unicamente, y el metodo get es el que se obtiene como bien dijo castg por una url (que obviamente no es la url la que tiene la informacion  :¬¬), no tiene nada que ver con un formulario, si se puede pasar luego de un form, pero no necesariamente como el metodo post

<?
session_start();
$var_session = md5(session_id());
echo '<a href=cerrarsesion.php?s='.$var_session.'>Cerrar sesion</a>';
?>

el md5 para que no me digan aaa el Sid se puede sacar .

en este caso es un anti csrf porque, esta obteniendo una variable que te da la propiedad session_id, que es casi imposible de sacar, en cambio un codigo vulnerable a csrf seria:

<?
session_start();
echo '<a href=cerrarsesion.php?s='nombre_del_usuario'>Cerrar sesion</a>';
?>

entonces se podria pasar por una web que se diriga a cerrarsesion.php?s='nombre_del_usuario', sabiendo el nombre del usuario, y seria de la misma peligrosidad que por el metodo post 



listo posteen cosas coherentes gente