sohu邮箱基本未做csrf防御，只要发送一封 html 邮件给用户，用户要是点了里面的链接，任人折腾了哦。。
问题存在多处，我就随便拿一处举例了。
在证明中，我把用户的所有邮件转发垤指定的邮箱中去，这破坏超大吧?
发封html邮件给要攻击的人
因为sohu只认post请求，所以构建一个外站链接，由外站发起post请求
点了邮件中的链接后
来看看外站内容
bingo! 战果
修复方案：
csrf常规处理了，你们会的。 如果改动比较大，那起码检测一下referer。
查看更多关于sohu邮箱csrf 可转发用户邮件及修改用户信息等的详细内容...
声明：本文来自网络，不代表【好得很程序员自学网】立场，转载请注明出处：http://www.haodehen.cn/did14651