Hell there,
A8 ⇨ Cross-Site Request Forgery(Transfer Amount)を選択して。
『100』を入力して。
『Transfer』ボタンで実行すると。
どうやら、上に表示されている残高が減るようで。
Burp Suiteでパラメータを確認して。
URLとパラメータをどこかへ保存しておいて。
http://localhost/csrf_2.php?account=123-45678-90&amount=100&action=transfer
A1 ⇨ HTML Injection - Stored(Blog)を選択して。
口座から引かれる額を３０ユーロに変更して。
実行して。
<img src="http://localhost/csrf_2.php?account=123-45678-90&amount=30&action=transfer" height=0 width=0>
さらに、二回ほど、リロードすると。
合計三回更新したことになるので。
３０ユーロ×３回で、９００ユーロから９０ユーロが口座から引かれた。
Best regards,
