> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-cross-site-request-forgery-csrf/csrf-user-information-manipulation-pentesting-web.md).
# CSRF-Manipulation von Benutzerinformationen
Wir beginnen mit **fangen ab** einer Namensänderungsanfrage mit Burp Suite:
Wir überprüfen, ob dieselbe Anfrage in **GET**:
Mit **GET**, wir senden eine Anfrage, indem wir den Namen ändern und das Entfernen des **Token** und die **Zeitstempels** um zu sehen, ob sie absolut notwendig sind oder nicht:
Wir können sehen, dass der Benutzername **ohne Formulare geändert wurde**, daher sind die beiden Felder nicht notwendig:
In der \*\*Freundesliste\*\* finden wir die \*\*ID\*\* unseres Opfers:
Wir versuchen, die Anfrage auszulösen, indem wir die **Benutzer-ID** mit der des Opfers (59) und indem wir das **Namensfeld** (in diesem Fall haben wir nicht die notwendigen Berechtigungen):
Da die Anfrage mit **GET**, wenn wir den **Link** an das Opfer senden und es ihn von seinem Konto aus öffnet, wird sein Name geändert, weil es die erforderlichen **Berechtigungen**:
In diesem Fall ist es nicht möglich, aber wenn es kein **aktuelles Passwort** Feld gäbe, könnten wir das Passwort des Benutzers ändern:
Eine Möglichkeit wäre, ihnen den Link per **GET**; wenn sie **öffnen** ihn, werden die Änderungen übernommen. In manchen Fällen können wir Nachrichten in **HTML**. Wenn wir ein nicht existierendes Bild mit dem **eingefügten Link** auf diese Weise senden:
Wenn das Opfer die Nachricht öffnet und der Server **interpretiert** das Bild (das nicht existiert) lädt, werden die Änderungen angewendet:
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/de/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-cross-site-request-forgery-csrf/csrf-user-information-manipulation-pentesting-web.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.