漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-073191
漏洞标题：时光网前端礼包大放送 XSS+CSRF 各种刷转发 回复 加关注
相关厂商：时光网
漏洞作者： 0x_Jin
提交时间：2014-08-20 16:51
修复时间：2014-08-28 16:40
公开时间：2014-08-28 16:40
漏洞类型：CSRF
危害等级：中
自评Rank：10
漏洞状态：厂商已经修复
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-20： 细节已通知厂商并且等待厂商处理中
2014-08-20： 厂商已经确认，细节仅向厂商公开
2014-08-28： 厂商已经修复漏洞并主动公开，细节向公众公开
简要描述：
时光网CSRF 各种刷转发 回复 加关注，当大家都在say 0x_Jin 我是何种心情？
详细说明：
今天也累了 不想挖了 但是目标得达成~
挖了万达的 就再来个时光网的吧。
首先把目光锁定在CSRF上吧 首先在测试群组的帖子的时候
发现回复那 是做的白名单限制 限制的比较严哈 (此处点个赞)
但是发现 img 标签能用 尽管无法写事件，但是此处埋下了伏笔。
然后我们把目光转向 http://my.mtime.com/
在这里 你能发一些类似于 微博一样的东西，在这里你还可以有粉丝！
于是 在此处开始测试，首先是发一条微博，发现竟然是通过get 来提交的。。。
先上图：
看到这里 我简直惊呆了。。。还真有传说中的这种奇葩。。。。
但是这还不算完，继续看！
转发：
加关注：
这里替换成自己的ID 就可以关注自己了！
哎哟我去。。。 我简直惊呆了有木有。。。并且还无token有木有
现在包也抓到了 我们来玩csrf 好不好啊！
在前面说了 在一些回复的地方 可以插入img标签，都知道img标签的src属性可以发出get请求 那我们说做就做吧！
看下src的内容：
在这里看不全 因为chrome 省略了一点，但是copy as html 就看全了！
现在我们到处插了图片 我们来看看效果吧！
是不是很酷炫呢，来看看大家都在说什么：
大家都在说0x_Jin喔！ 那感觉 。。。
好了，说好的大礼包 那就再来个存储型XSS改善下生活吧！
漏洞存在于 blog 发日志的摘要处 会被带入meta的content内 并且未做过滤！
可以看到xsspayload 被带入了 并且没做过滤 弹窗了
漏洞地址：http://i.mtime.com/12682108/blog/7803922/
温馨提示：请问safari打开喔！
ps:请时光网大大 不要封我号 让我潇洒一回
漏洞证明：
今天也累了 不想挖了 但是目标得达成~
挖了万达的 就再来个时光网的吧。
首先把目光锁定在CSRF上吧 首先在测试群组的帖子的时候
发现回复那 是做的白名单限制 限制的比较严哈 (此处点个赞)
但是发现 img 标签能用 尽管无法写事件，但是此处埋下了伏笔。
然后我们把目光转向 http://my.mtime.com/
在这里 你能发一些类似于 微博一样的东西，在这里你还可以有粉丝！
于是 在此处开始测试，首先是发一条微博，发现竟然是通过get 来提交的。。。
先上图：
看到这里 我简直惊呆了。。。还真有传说中的这种奇葩。。。。
但是这还不算完，继续看！
转发：
加关注：
这里替换成自己的ID 就可以关注自己了！
哎哟我去。。。 我简直惊呆了有木有。。。并且还无token有木有
现在包也抓到了 我们来玩csrf 好不好啊！
在前面说了 在一些回复的地方 可以插入img标签，都知道img标签的src属性可以发出get请求 那我们说做就做吧！
看下src的内容：
在这里看不全 因为chrome 省略了一点，但是copy as html 就看全了！
现在我们到处插了图片 我们来看看效果吧！
是不是很酷炫呢，来看看大家都在说什么：
大家都在说0x_Jin喔！ 那感觉 。。。
好了，说好的大礼包 那就再来个存储型XSS改善下生活吧！
漏洞存在于 blog 发日志的摘要处 会被带入meta的content内 并且未做过滤！
可以看到xsspayload 被带入了 并且没做过滤 弹窗了
漏洞地址：http://i.mtime.com/12682108/blog/7803922/
温馨提示：请问safari打开喔！
ps:请时光网大大 不要封我号 让我潇洒一回
修复方案：
csrf防御的方法一堆，最主要还是 连转发 跟发微博都get。。。 这点不太合适啊！
版权声明：转载请注明来源 0x_Jin@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2014-08-20 17:20
厂商回复：
谢谢 0x_Jin ，我们会尽快修复
最新状态：
2014-08-28：已修复