当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-017303

漏洞标题:我又是如何日刷千万新浪微博粉丝的

相关厂商:新浪微博

漏洞作者: 风萧萧

提交时间:2013-01-14 16:36

修复时间:2013-02-28 16:37

公开时间:2013-02-28 16:37

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-01-14: 细节已通知厂商并且等待厂商处理中
2013-01-14: 厂商已经确认,细节仅向厂商公开
2013-01-24: 细节向核心白帽子及相关领域专家公开
2013-02-03: 细节向普通白帽子公开
2013-02-13: 细节向实习白帽子公开
2013-02-28: 细节向公众公开

简要描述:

大家都知道微博加关注,是两个微博用户的事情对吧!一个是被关注的对象,新浪微博定义的参数名是uid,另一个是去关注他的粉丝,新浪微博定义的参数名是fromuid。一般情况下,fromuid就是你自己的新浪微博id号!但是如果在传输的过程中,你改变了这个fromuid号,那么谁去关注了uid对象呢?如果uid填写成wooyung2,再将请求爆破一千万次,那么乌云是否有千万粉丝了呢?CSRF什么的真是弱爆了!
擦,别瞎想了,洗洗睡吧!

详细说明:

1.好吧,有点标题党,但是确实是真实的事情!在说漏洞细节之前,先举报一张图撒,刷粉丝多挣钱啊:

1.jpg


2.出问题的站点是:

http://qing.weibo.com

现在我的微博粉丝只有5个人哈!

2.jpg


3.我随便找个人关注下,注意这个时候要抓包啊!

3.jpg


POST请求如下:

POST /blog/api/attentionpost.php HTTP/1.1
rialog=A0012&uid=【粉丝id】&aid=【关注的对象id】&name=【可以不填】&is_follower=【可以不填】


上述两个参数中最重要的是uid,就是粉丝的id号,默认是本次请求的账户id,aid是关注的对象,也就是需要刷粉丝的那位客观!
4.为了演示漏洞效果,这次我不帮乌云刷粉丝了,而是把乌云账号刷成我的粉丝(一是想说明漏洞的真实性:我不会去控制乌云微博的对吧,二是提高乌云微博的出镜率,希望大家通过正常手段去关注乌云)。大家还记的乌云uid号么:1981622273。
5.开始了,构造POST的请求如下,uid写乌云的账号,aid写我自己的账号,其他不变,查看返回吧!

5.jpg


6.再看下实际效果,成功俘虏乌云成为我的粉丝:

6.jpg

漏洞证明:

7.如果我将本次POST的请求发送给burpsuite的intruder模块,uid设置成10位数字去遍历,我会日刷千万粉丝么?

修复方案:

我尝试了多少次的失败才有这一次的发现!

版权声明:转载请注明来源 风萧萧@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2013-01-14 18:04

厂商回复:

多谢提供,已经安排人员处理了。轻博客和微博是不同的项目,此漏洞只影响到轻博客的粉丝。

最新状态:

暂无


漏洞评价:

评论

  1. 2013-01-14 16:37 | VIP ( 普通白帽子 | Rank:759 漏洞数:100 )

    我信洞主

  2. 2013-01-14 16:39 | 小胖胖要减肥 认证白帽子 ( 普通白帽子 | Rank:686 漏洞数:101 )

    这个不是我们自己能刷了么。。。。遍历id了呀

  3. 2013-01-14 16:39 | 小胖胖要减肥 认证白帽子 ( 普通白帽子 | Rank:686 漏洞数:101 )

    不过应该不会是主接口吧,主接口能刷就弱爆了

  4. 2013-01-14 16:49 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    刷苍老师啦

  5. 2013-01-14 16:53 | 风萧萧 认证白帽子 ( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)

    @小胖胖要减肥 献上菊花吧,娃子!

  6. 2013-01-14 16:53 | 风萧萧 认证白帽子 ( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)

    @xsser 哎呀我擦,光想着乌云了!注定是个屌丝啊

  7. 2013-01-14 16:58 | kelon ( 实习白帽子 | Rank:73 漏洞数:9 )

    @风萧萧 大神,帮我刷个百万吧。好让我在女神前装一下吧

  8. 2013-01-14 16:58 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1:5 无限量收 [平台担保])

    老板'十斤苍老师!

  9. 2013-01-14 17:01 | 小胖胖要减肥 认证白帽子 ( 普通白帽子 | Rank:686 漏洞数:101 )

    @风萧萧 菊花没有,只有五指山

  10. 2013-01-14 17:08 | Max ( 实习白帽子 | Rank:45 漏洞数:7 | When you see this sentence, I have been ...)

    我信洞主

  11. 2013-01-14 17:23 | 乌帽子 ( 路人 | Rank:29 漏洞数:3 | 学习黑客哪家强 | 中国山东找蓝翔 | sql...)

    洞主霸气侧露

  12. 2013-01-14 17:56 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    一刷就见效,长刷没烦恼那种?-_-||

  13. 2013-01-14 18:01 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫,我笑世人看不穿~)

    撸主,来二两粉丝,年底结账,先记着!

  14. 2013-01-14 18:06 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    一斤粉丝,要地瓜粉,不要米粉

  15. 2013-01-14 19:21 | 易水寒 ( 实习白帽子 | Rank:67 漏洞数:6 )

    @xsser 这个月@风萧萧 要是拿不到最撸力洞主,我再也不相信爱情了。

  16. 2013-01-14 22:44 | 蓝风 ( 普通白帽子 | Rank:125 漏洞数:25 | 崬汸慾哓 嗼檤焄垳皁 沓猵圊屾亾沬荖 颩憬...)

    @易水寒 2飞

  17. 2013-01-14 23:08 | 易水寒 ( 实习白帽子 | Rank:67 漏洞数:6 )

    @蓝风 禽兽

  18. 2013-01-15 21:17 | guiker ( 路人 | Rank:0 漏洞数:1 | PHP屌丝程序员!)

    弱爆了。。

  19. 2013-01-15 22:35 | 蓝风 ( 普通白帽子 | Rank:125 漏洞数:25 | 崬汸慾哓 嗼檤焄垳皁 沓猵圊屾亾沬荖 颩憬...)

    @风萧萧 吸 @易水寒 @xsser 一去不复返

  20. 2013-02-15 14:27 | 剑指天涯 ( 路人 | Rank:1 漏洞数:1 | 我是来乌云打酱油的,没提过漏洞,没拿过ra...)

    万恶的粉丝……

  21. 2013-02-28 16:56 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    给力哦,哈哈