最近两天看都在csrf，于是我又去看了一下，这下这个xss自己就起作用了额涛涛电脑知识网
上图涛涛电脑知识网
1.测试邮箱内容<img src="updata.jsp?to=to"/>,打开邮件看图片的连接
测试可以csrf
2.于是找到一个get连接，添加白名单的连接
antiTrash.action?actionType=addBWwithQuery&type=1&emails=1341413415%40qq.com
点开邮件添加白名单成功
3.想到以前的自能xss自己的，那么要是利用csrf添加一个日程，哈哈，要是邮箱主人点开日程管理哪cookie不就是发出来了
这个就是那个xss
发csrf邮件
查看邮件
日程自动添加了一个
4.收cookie了
查看是否收到了cookie
5.其他的地方很多都能csrf，这个邮箱是Java做的，我想很多方法都是get,post都能调用吧
这个要是在加上
6.这就是让我最悲剧的时候了，咋个直接都能xss了，我是想不懂了，根本没过滤，我还以为这里一般都会过滤，太让我惊讶了
哎呀我的妈呀，我的小心脏，挖了半天结果可以xss，我想死啊
网站备案号：蒙ICP备15000590号-1
