漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-09090
漏洞标题：对WooYun-2012-08606的再次CSRF利用
相关厂商：爱拍
漏洞作者： imlonghao
提交时间：2012-07-01 12:04
修复时间：2012-07-06 12:04
公开时间：2012-07-06 12:04
漏洞类型：CSRF
危害等级：低
自评Rank：1
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-07-01： 细节已通知厂商并且等待厂商处理中
2012-07-06： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
WooYun-2012-08606漏洞修复不完善，依然可以达到在用户未知情的情况下关注某人的目的。
Ps,祝党生日快乐~~~
详细说明：
21号提交的漏洞，当天就确认漏洞了，做出了反应。
这几天，再上爱拍的时候发现，粉丝还在增长，就去看看什么原因。
在去利用这个地址在没有来源的情况下提交，信息框提示“无效的请求方式”，很明显是修复过。
之前我在BBS中回帖用img标签引用过这个地址，会不会是这个问题呢，于是，我就再一次用img标签引用这个地址，去回帖。
过了一下，有粉丝了，我看了看粉丝的名字，对比了其他回帖人的名字，果然中招了。
所以，可以得出他们是这样修复的：
设置了接口只允许来自*.aipai.com的请求
这样的修复显然是有问题的，没有考虑到来自论坛的调用，论坛的地址是bbs.aipai.com，所以就通过了接口的来源检查。
在论坛中进行CSRF效果更好，因为用户都是登陆状态，危害更大。
漏洞证明：
在BBS回帖中、个人签名中插入以下代码。
修复方案：
再详细一点接口的来源检查，用户加关注通常都是在视频页中的，所以将接口的来源设置设置成只允许www.aipai.com的请求，同时使用POST代替GET，加TOKEN也是很重要的。
Ps、烦请清掉imlonghao(拍子号：11709754)的所有粉丝，或者直接封掉(我不怎么玩爱拍 - -||)。
处理下这两个帖子
http://bbs.aipai.com/thread-502883-1-1.html (我的反映贴)
http://bbs.aipai.com/thread-502842-1-1.html (投诉我，我汗)
版权声明：转载请注明来源 imlonghao@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-07-06 12:04
厂商回复：
最新状态：
暂无