基于YzmCMS的CSRF

1.自己创建环境，然后使用管理员添加用户。

　　

 

2.新加用户时，使用burp抓包。尝试把POST方法转变成GET方法，发现不可成功。

3.然后自己构造POC ，这里使用burp生成

　　

 

 4.把生成的CSRF的POC复制出来，保存为一个html 的文件，诱惑管理员去点击。管理员点击后就会创建一个有管理员权限的用户了。

 

5.这里本地去测试一下。

6.当管理员点击之后就会自动创建用户了。刷新之后可以看到用户已经创建。

 

转载于:https://www.cnblogs.com/pangya/p/8990886.html