Hello there,
A8 ⇨ Cross-Site Request Forgery(Change Password)を選択して。
現在のパスワードを確認すると。
ハッシュ値で保存されているようで。
6885858486f31043e5839c735d99457f045affd0
パスワードを以下のサイトで複合すると。
パスワードは、『bug』だと。
https://hashtoolkit.com/decrypt-md5-hash/
画面に戻って。
新しいパスワードを『pass』と入力して。
Burp Suiteでパラメータを確認して。
次に右クリックでURLをコピーしておいて。
送信せずにDropさせて。
コピーしたURLは以下のとおり。
http://localhost/csrf_1.php?password_new=pass&password_conf=pass&action=change
念のため、パスワード値をさらに『pass2』に変更して。
そのURLを貼り付けて実行すると。
http://localhost/csrf_1.php?password_new=pass2&password_conf=pass2&action=change
データベース上のパスワードにhは変化が見られ。
再度、下記のハッシュ値を複合化すると。
8be52126a6fde450a7162a3651d589bb51e9579d
パスワードが『pass2』で登録されていた。
Best regards,
