当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-09949

漏洞标题：新浪微博加关注CSRF漏洞（已经泛滥）

相关厂商：新浪

漏洞作者： 路人甲

提交时间：2012-07-20 18:34

修复时间：2012-09-03 18:35

公开时间：2012-09-03 18:35

漏洞类型：CSRF

危害等级：高

自评Rank：18

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-07-20： 细节已通知厂商并且等待厂商处理中
2012-07-21： 厂商已经确认，细节仅向厂商公开
2012-07-31： 细节向核心白帽子及相关领域专家公开
2012-08-10： 细节向普通白帽子公开
2012-08-20： 细节向实习白帽子公开
2012-09-03： 细节向公众公开

简要描述：

新浪微博某加关注接口未作CSRF检查，导致被恶意利用，批量添加广告推广帐号。

详细说明：

在微博上有人发灵异视频链接让人点击，原始短URL：http://t.cn/zWirM7P，进入后如图


再次点击查看后被强行关注13个微博，抓包查看。


小号被加粉丝




随便打开一个被强加的微博粉丝都超级多啊，怀疑都是此类方式刷上来的


漏洞证明：

漏洞接口：

https://api.weibo.com/2/friendships/create.json
POST方式
uid=[强行加关注的目标微博uid]&source=3818214747&_cache_time=0&method=post

修复方案：

新浪懂得。

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：18

确认时间：2012-07-21 13:33

厂商回复：

业务部门正在处理,感谢

最新状态：

暂无

漏洞评价：

评论

  1. 2012-07-20 19:58 | imlonghao ( 普通白帽子 | Rank:730 漏洞数:74 )

    我只能说黑产真XX牛逼。

  2. 2012-07-20 20:42 | Henry:bobo ( 普通白帽子 | Rank:104 漏洞数:22 | 本胖吊！~又高又肥2个奶奶像地雷)

    神奇的路人甲！！搞黑产真牛X

  3. 2012-07-20 23:13 | 小乖 ( 路人 | Rank:21 漏洞数:6 | 这个家伙很懒，什么也没留下。)

    据说路人甲都是很强大的.

  4. 2012-07-21 01:07 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    我只能说黑产真XX牛逼。想半年多想破头都没想出来的东西，竟然问题根源是这样来的......真心给黑产360度跪了！

  5. 2012-07-21 11:41 | p.z 认证白帽子 ( 普通白帽子 | Rank:411 漏洞数:40 )

    新浪怎么还会存在这样的接口呢

  6. 2012-07-21 12:31 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @p.z @horseluke 终于正视这种问题了 好事儿啊

  7. 2012-07-23 09:37 | webshell ( 实习白帽子 | Rank:58 漏洞数:18 | 没有伞的孩子必须努力奔跑。)

    正视问题就是一件好事。

  8. 2012-08-01 02:50 | QQ852451559 ( 实习白帽子 | Rank:79 漏洞数:18 | 学生党)

    提醒：目前漏洞有限制开放中，你的 Rank 级别不够我等等。。。。

  9. 2012-09-07 10:29 | webshell ( 实习白帽子 | Rank:58 漏洞数:18 | 没有伞的孩子必须努力奔跑。)

    原来这个现在才发现。。。