关♥生活,关注互联网。
存档在2015年05月17日年
掌握这两招,让你变身K吧人气达人——论KM上的两个CSRF漏洞
5月 17th
从绿盟科技的《2014互联网金融安全报告》中可以看到,XSS和CSRF漏洞依然是影响比较突出的两个安全问题。
在这里分享下之前发现的两个内网知识管理系统(KM)的问题,KM系统个人主页的访问记录和关注操作都接受GET请求,只需要构造请求就可以实施一次CSRF攻击。
先看看增加关注者的方法。通过网页代码可以看到,在他人的个人主页上点击“添加关注”按钮时调用的是getJSON方法,且未验证请求来源,于是要欺骗系统就变得异常简单,只需要满足两个条件:
- 构造请求到关注接口;
- cookie中带有用户信息(用户已经登录)。