搞web安全,怎么能不挖一个csrf改性别呢?本文我首发于https://bbs.s0safe.com/grhoahbvcjsla/25.jishui
某公益src的csrf改性别!嘿嘿!
1.注册两个测试账号先:
账号test001
密码test001
手机号13333333333
账号test002
密码test002
手机号13333333332
2.先看看test002的性别,是保密的:
3.然后登test001,点击test001的修改资料部分
4.把性别改成女,嘿嘿,避免手机号、邮箱冲突,改成了:
5.点提交,这个时候用burp抓包,用burp自带的功能生成CSRF的POC
6.把这个poc保存在你的服务器上,我图方便就放本地了= =
7.这个时候模仿test002被攻击的场景,我们登录test002的账号,然后访问127.0.0.1/1.html
8.因为burp自带的功能是不会生成自动提交代码的,所以我们要自己改成这样:(给submit加个id值,再写个js代码)
9.我们再次访问127.0.0.1/1.html发现
毕竟是挖洞嘛。假如有需要你还可以写个假的404界面,对url短编码免得被发现。
10.然后去看test002的资料,重新点击我的资料,发现资料里但凡带中文的,都没有被更改,只有手机号和邮箱被改了,为啥子呢?
11.看上面burp生成的POC==我认为是编码问题导致的,然后自己用这个网站编码了一下:
但是发现还是不行,那么我就直接输入 女 吧 = =还是不行= =
12.但是!!!!我复制网页上的 女 字,粘贴过来就行了!!!离谱!!!肯定是编码问题。
13.可以看到上面的 @ 也没有正常显示= =burp的编码靠不住啊,那些值还是得自己手敲。
帖子标题:《【投稿】某公益src的csrf改性别!嘿嘿!》
原文地址://bbs.s0safe.com/grhoahbvcjsla/25.jishui