shikata ga nai

Private? There is no such things.

ShepherdでCross Site Request Forgeryをやってみた

Hello there, ('ω')ノ

 

ShepherdでCross Site Request Forgeryを選択して。 

管理者が使用する機能は、下記のGETリクエストによって開始されるとのことで。

exampleIdは、有効なuserIdで。

 GET / root / grantComplete / csrfLesson?userId = exampleId


画像URLを含むメッセージを管理者に送信して。

上記は、埋め込まれた<img>タグに表示されて。

 

exampleId属性を一時的に下記のuserIdに置き換えるとか。

このIDが動的に変化するようで。

 33085855

 

f:id:ThisIsOne:20200727084247p:plain

 

とにかく下記のようにURLを組み立てて送信するとキーが表示されて。

 http://192.168.1.44/root/grantComplete/csrfLesson?userId=33085855

 

f:id:ThisIsOne:20200727083951p:plain

 

ちなみに画像箇所のHTMLソースコードを確認するとURLが<img>タグにあって。

 

f:id:ThisIsOne:20200727084951p:plain

 

得られたキーを入力するとクリアできた。

nQHgOc+C//8gzlC/s+OToIic+7Zgs9bj0SpFeBjp7vudeQ2MqhBYvFUC8fG6mtuSxVGmilEMBK2UHuYpLzKQO5wguVPyaQgiOOjY06MpobAA+e6DI8tyWpIsoHnXMrlvBbEEe6Bv1kRhDt0yVSCxeQ==

 

f:id:ThisIsOne:20200727084103p:plain

 

Best regards, (^^ゞ

ひとりひとりの自覚をもった行動で、医療従事者と保健所職員を助けよう。

f:id:ThisIsOne:20200404115457p:plain