漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-063113
漏洞标题：搜狐焦点某安全机制绕过漏洞
相关厂商：搜狐
漏洞作者： qwerty
提交时间：2014-06-02 13:07
修复时间：2014-07-17 15:29
公开时间：2014-07-17 15:29
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-06-02： 细节已通知厂商并且等待厂商处理中
2014-06-02： 厂商已经确认，细节仅向厂商公开
2014-06-12： 细节向核心白帽子及相关领域专家公开
2014-06-22： 细节向普通白帽子公开
2014-07-02： 细节向实习白帽子公开
2014-07-17： 细节向公众公开
简要描述：
搜狐焦点网对于攻击行为有个防御机制，但是可被绕过呢~ 妈妈再也不用担心熊孩子脱不了库啦 @浩天
详细说明：
使用某扫描工具对焦点网进行扫描，或者使用sqlmap脱裤的时候，会触发搜狐的防御机制，对该IP地址进行屏蔽，返回403错误。
比如这个熊孩子IP就被禁过，嘻嘻
http://wooyun.org/bugs/wooyun-2014-057374
http://wooyun.org/bugs/wooyun-2014-057319
屏蔽效果见图
但是我们机智的发现，这里是针对IP地址进行屏蔽的。那么能不能进行绕过呢？
尝试截包，加入X-Forwarded-For: 8.8.8.8 头字段.
成功绕过IP限制。
看看两次的访问对比效果,添加IP伪造字段后，返回码正常了。
不加X-Forwarded-For头字段,则又被屏蔽了。
X-Forwarded-For头字段的值，可以由客户端随意伪造。这样的话，搜狐的IP屏蔽机制就形同虚设啦。
漏洞证明：
证明见详细说明。
绕过前后对比：
刷分中，上次存储跨站只给了低危，今天过节，多给点分啦~
修复方案：
不要使用X-Forwarded-For字段来判断客户端IP。
版权声明：转载请注明来源 qwerty@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2014-06-02 14:14
厂商回复：
感谢支持。
最新状态：
暂无
( 核心白帽子 | Rank:1576 漏洞数:184 | 关注技术与网络安全)