网络图片钓鱼攻击
该漏洞主要是查不到的网络图片的合法性，并把它直接在img标签的src属性，导致脆弱性。目前，互联网上使用类似的方法来处理网络图片的大多数网站，主要用于Discuz为例。所有版本的Discuz的影响，在网络图片铁饼，不验证网络图像的合法性，铅可注入的环节，但在这里使用的局限性，因为Discuz本身启用formhash-discuz 7.随机变量防止CSRF攻击，因为这个漏洞的利用CSRF仍具有一定的局限性马，但实现刷流量，广告和钓鱼有什么困难。
使用方法：
使用网络图片进行网络钓鱼。
1。找到一个Discuz论坛，网络图片插入自己的钓鱼网页建设。
2。浏览文章，你可以看到跳出的钓鱼页。
三.安全意识不好进入账号密码。
4。攻击者可以获得密码，并完成捕鱼。
两。Make use of network picture to carry out CSRF attack. Discuz本身使用formhash-discuz 7.防止CSRF，而是因为它只解决了自己的问题，这并不需要用户的网站结构的帐户。如果Discuz用户主站和论坛使用相同的域名，就有可能造成CSRF攻击。接下来，我们使用我们自己的测试环境来验证它。
1。在论坛发布一个帖子后，网络图片被插入到一个新的管理员帐户链接中。
2。等待站点管理员登录主站后台，登陆后，数据库管理员数据在帖子未被访问之前，如下图所示。
三.登录到后台与管理员，并访问该职位，你可以看到对新管理员页面的请求。
4。要查看数据库中发现的不止一个管理员，使用管理可以正常登录主站管理后台。