记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

图虫网删除任意用户/小组个性域名

2013-06-26 15:35
删除个性域名处未过滤,可以将hidden中的域名修改成他人的/其他小组的,删除掉他人/其他小组的个性域名。
 
 
使用调试工具,显示出了要删除的域名其实隐藏在hidden里面的。
 
现在我们选一个目标来测试,就选大连小组吧,它的个性域名是http://dalian.tuchong.com
 
 
 


 
把hidden里的值修改为要删除的小组/他人的个性域名,接着点删除,目标个性域名成功被删除了。 
 
修复方案:
缺少token机制,对所有个人信息的表单增加nonce检查
删除子域名时,检测该域名是否为该用户所有的。
 
知识来源: www.2cto.com/Article/201306/222776.html

阅读:94765 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“图虫网删除任意用户/小组个性域名”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云