#### 某src的无交互csrf漏洞

---

某src存在上传作品的功能，上传作品后发布到作品广场可被所有用户查看，也可使分享功能分享给特定用户
此业务具有以下特点
*作品的封面是固定的，封面地址在云存储桶
*保存作品时会有请求作品封面地址的请求包

利用过程
1.创作一个编程后点击发布
2.在保存作品时抓包，可抓到如下数据包

2.将主题url地址改为
/oss.target.ncom@target.com/api/v1/login/logout后发送给服务器请求成功
3.受害者通过观看全站作品或被攻击者分享来观看作品，访问作品后受害者账号会强制退出

访问恶意作品链接并加载后，受害者被强制退出