乐蜂网csrf漏洞可通过改邮箱来改密码下载

来源：黑吧安全网　浏览：2054次　时间：2014-08-02
做网站找雨过天晴工作室

修改邮箱处存在csrf漏洞，如此一来就可以找回密码啦啦啦

截到的post请求如下：

u为用户编号，v为修改的邮箱，这个用户编号在浏览他人主页是可以得到的，请求中的s编号虽然变化但是试了下没什么用。

返回2应该是正确，反正邮箱收到了哈。。邮箱修改成功，也没有任何短信提示，悄无声息了。下面就可以登陆时候点击’忘记密码‘了

修复方案：

这个不应该get请求控制