DVWA-CSRF-High

代码中加入了token 的判断；

1. 用户admin/password 登陆，修改密码，并使用BP抓包

2. 使用smithy/password登陆，右键检查->Elements，找到修改按钮处的代码位置，获取最新的user_token(刷新页面可以看到token一直在变；用户登陆成功后服务器生成token和token 失效时间，客户端请求时间时使用token即可，不用每次都带上用户名密码)
   

3. 重放步骤1抓到的BP包，将user_token 的值粘贴到待重放的数据包，发送数据包后smithy的密码被修改
   

4. 可以使用CSRF Token Tracker 插件绕过手动填写token值，设置完成后直接重放数据包即可。