Một hôm nọ, cãi nhau với vợ, Tưng buồn quá muốn bỏ đi mát xa. Tiếc thay, lên thiendia hỏi
địa chỉ không ai cho vì Tưng tín dụng quá thấp. Biết Tườn là thành viên cộm cán, Tưng bèn
năn nỉ Tườn cho mượn acc nhưng vì sợ anh hư hỏng nên Tườn không cho. Đúng là anh em
tốt!! Phẫn chí, Tưng quyết định dùng lỗi CSRF để chôm account của Tườn.
Ta hãy quan sát HTML của form đổi mật khẩu thiên địa. Form này gồm 2 field
là password và password_confirm, submit tới http://thi*ndia.com/account/security-save
Tưng làm giả một trang web JAV, giả vờ gửi cho thằng em xấu số. Trong trang web có một
form ẩn với các giá trị tương tự form trên (Các đồng d*m vui lòng để ý form HTML bên trái và
button bên phải).
Thanh niên Tườn ngây thơ mù IT, lỡ tay vào link và bấm vào button. Một request đổi password
được gửi đến thiendia, kèm theo cookie account của Tườn. Thế là xong! Tưng chỉ cần dùng
email + mật khẩu mới là 123456 để đăng nhập vào account của thằng em xấu số.
Kiểu 2. Dùng thẻ img
Chuyện tới đây chưa hết. Có địa điểm mát xa, nhưng tiền bạc do vợ nắm cả, Tưng không có
tiền đi mát xa. Tưng quyết định hack luôn tài khoản ngân hàng của Tườn. Tườn sử dụng
JAVBank (Japan America Vietnam Bank).
Mỗi lần chuyển khoản, ngân hàng sẽ tạo 1 URL. Giả sử người A muốn chuyển 1000 cho người
B, url được tạo ra sẽ có dạng http://jav.bank?from=Person1&to=Person2&amount=1000.