漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017347
漏洞标题：我是如何刷网易微博粉丝的
相关厂商：网易
漏洞作者： 风萧萧
提交时间：2013-01-15 22:47
修复时间：2013-03-01 22:48
公开时间：2013-03-01 22:48
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-15： 细节已通知厂商并且等待厂商处理中
2013-01-17： 厂商已经确认，细节仅向厂商公开
2013-01-27： 细节向核心白帽子及相关领域专家公开
2013-02-06： 细节向普通白帽子公开
2013-02-16： 细节向实习白帽子公开
2013-03-01： 细节向公众公开
简要描述：
各位网易微博的白帽子，我网易微博名是【风萧萧吸】，请通过正常途径关注我哦！
详细说明：
1.今天用了网易微博，虽然功能少点但也很nice嘛！想不到我封存了5年的网易账号还在，密码也没被盗！恩，不扯了，是一个加关注的接口存在问题呢！look：
话说我也不知道从哪里找到的了，当时也忘记了截图！
2.这个GET方式的加关注请求，没有防范CSRF哦，所以导致登录了网易通行证的童鞋只要访问了上述链接就会关注指定的人呢！下面我截图说下简单的利用方式吧，首先将链接直接发布在网易微博首页，并且艾特任何人，越多越好，当然配上文艺型的文字效果更好哦，由于是测试，我就不这么花哨了：
生成短链接如下：
漏洞证明：
3.使用IE浏览器登录另一个新申请的账号：
找到刚才风萧萧吸童鞋准备好的链接，点击即可，返回如下：
当然效果也有了：
4.其实不用这么麻烦，该接口没有对CSRF做任何的防范，直接点击访问就会中招！但是我为了说明这种GET方式的请求，即使验证了referer，也无济于事。后面的漏洞会精彩的如果有续集的话！
修复方案：
1.关键请求还是改成post比较好！
2.关键请求还是加token比较好！
3.礼物啊礼物！年底各种忙，还不忘给网易找洞，要鼓励这种舍己为人的精神啊！春天妹子啊送个公仔撒！
版权声明：转载请注明来源 风萧萧@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：16
确认时间：2013-01-17 18:40
厂商回复：
感谢您对网易的关注，漏洞已经修复。
最新状态：
暂无
漏洞评价：
评论
-
我是如何绕过网易微博防御继续刷粉丝的
-
@风萧萧 吸 @易水寒 你们这个有基情哪！如实招来
-
@px1624 娃子啊，你是怎么做到老抢沙发捏！
-
@易水寒 最近出镜率怎么这么高！项目什么的都搞完了？
-
楼上这些个娃子啊！我就不一个个的艾特了，你们太淫荡了！其实我本想取名【风萧萧】的，结果有人用了，那就【风萧萧兮】吧，也被人用了，连【风萧萧xi】都有人用。木办法就搞了这个名字啊！
( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)