限时投稿-CSRF修改他人邮箱，手机号

1：在写2篇就可以换学院的雨伞了，加油

2：CSRF跨站请求伪造，CSRF是没有cookie的，那么TA是怎么实现修改TA人的信息资料呢？

    网站的数据包里，有当前用户的ID号，被写到了POC里
    网站的数据包里有当前的用户名，根据当前的用户名决定更改那个账户的个人信息

3：通常修改哪里？

    手机号
    邮箱
    由于我们不知道当前账户的密码，所以无法直接更改目标用户的密码，但是我们可以通过修改【手机号】【邮箱】的方式，实现更改TA人的密码

还是按照规矩，创建两个账户
在提交数据的时候，开启抓包
注意一点，红框里的内容是，当前用户的ID号，如刚开始说的一样，有得网站是会在当前的数据包里放入用户的ID，或者用户名，来判断更改那个用户的资料，这里是ID

    GET /user/addcontact?email=1950254658@qq.com&mobile=17525737015&qq=1950254658&weixin=1950254658&_=1626510271608 HTTP/1.1
    GET /user/addcontact?email=stukmd51298@chacuo.net&mobile=17525737011&qq=1950254658&weixin=1950254658&_=1626510814662 HTTP/1.1

这是通过抓包，发现的问题，通过抓包，将后面的值改为另一个值，就可以实现更改他人的资料，包括手机号，邮箱
更改红框里的内容就可以了，再次确认当前账户的信息，然后修改

可以发现，当前的用户的手机号，邮箱都已经被更改了，但是没什么用，因为这网站没有密码找回的地方