用户进入修改密码页面以及邮箱找回密码页面，不需要填写验证码进行验证，并且不需要对旧密码进行验证，初步判断存在CSRF漏洞。
1.填写完密码之后点击提交，用bp抓包
2.建立一个CSRF POC，并且篡改用户密码
3.此时bp生成了一段html，这就是CSRF漏洞的测试代码啦
4.攻击者可以将这个伪造的页面发布到自己控制的服务器上，并设法让某一个已经登录的用户访问这个页面。这里我们将页面放入burp的根目录下，在浏览器已经登录了中国结算网站的前提下，访问这个页面。
5.用户访问了这个伪造的页面之后，跳转到密码修改成功的界面。此时用户并不知道密码已经被篡改，退出登录后用他自己设置的密码无法登陆，而用篡改过后的密码成功登陆！
