删除个性域名处未过滤,可以将hidden中的域名修改成他人的/其他小组的,删除掉他人/其他小组的个性域名。

图虫网删除任意用户/小组个性域名

使用调试工具,显示出了要删除的域名其实隐藏在hidden里面的。

现在我们选一个目标来测试,就选大连小组吧,它的个性域名是

图虫网删除任意用户/小组个性域名


图虫网删除任意用户/小组个性域名


把hidden里的值修改为要删除的小组/他人的个性域名,接着点删除,目标个性域名成功被删除了。 

修复方案:

缺少token机制,对所有个人信息的表单增加nonce检查

删除子域名时,检测该域名是否为该用户所有的。