115优盘 CSRF 漏洞及修复

简要描述：对用户数据的修改操作可以用 HTTP GET 来触发
详细说明：115优盘 http://u.115.com/ 大量使用 AJAX 来触发用户操作, 但 AJAX 请求不但没有使用 CSRF token, 而且使用了 GET 来触发, 导致可以轻易构造出 URL 来触发操作
漏洞证明：在任何论坛发布一个链接到 http://is.gd/jW4CF.jpg 的图片即可, 如果用户访问这个页面前曾经登录过 115网盘, 则会在用户的目录下创建一个叫fb5672 的目录
修复方案：使用 POST 而不是 GET 来进行 AJAX, 并且使用 CSRF TOKEN 来防御基于 POST 的 CSRF 攻击