#作者 : Aitor Herrero Fuentes
CSRF 删除所有账户
应用程序 demo.spa-cart.com 中的跨站请求伪造漏洞允许远程攻击者执行任意代码，一键删除“所有账户” CSRF 漏洞发生在恶意行为者可以诱骗受害者执行他们本无意执行的操作时。在这种情况下，恶意行为者可以诱骗受害者点击包含恶意代码的链接或打开文件。然后，该代码可用于删除所有账户
POC
1 - 使用以下代码创建一个文件并保存为 HTML 攻击删除所有账户
提示：所有用户都被分配了一个ID，例如 "status[852]"，使用 'status[001]' 到 'status[002]' 等直至1000来补全HTML，通过这个技巧攻击者可以删除所有用户
2 - 示例 test.html
3 - 发送给受害者
4 - 当受害者打开 test.html 文件时，它会在其浏览器中打开，当受害者点击按钮时，代码将在其当前会话中生效。
