漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-03943
漏洞标题：网易博客权限检查不严
相关厂商：网易
漏洞作者： XiNGRZ
提交时间：2012-01-18 20:45
修复时间：2012-03-03 20:46
公开时间：2012-03-03 20:46
漏洞类型：未授权访问/权限绕过
危害等级：低
自评Rank：3
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-01-18： 细节已通知厂商并且等待厂商处理中
2012-01-19： 厂商已经确认，细节仅向厂商公开
2012-01-29： 细节向核心白帽子及相关领域专家公开
2012-02-08： 细节向普通白帽子公开
2012-02-18： 细节向实习白帽子公开
2012-03-03： 细节向公众公开
简要描述：
该漏洞可造成用户博客中加密日志（好友可见、私人可见）以及日志草稿泄露。
详细说明：
网易博客日志模块的AJAX请求接口通过URL参数传递用户等级（访客、好友、博主），并且不会对该参数进行判断，通过伪造请求即刻得到原本只有好友可见或者博主私人可见的日志。而且任何情况下该接口都会返回以草稿保存的日志，仅通过前端判断不予显示。
漏洞证明：
以博客小管（http://blog.163.com/blog_admin）为例。通过其首页可得其的UID：721279。
向以下地址发起HTTP POST请求：
http://api.blog.163.com/dwr/call/plaincall/BlogBean.getBlogs.dwr
POST参数：
其中param0和param1分别是数量和起始点（这里只获取第260-280篇日志），param2是UID，param4是权限，10000代表博主（最高级）。
返回的是JSONP封装的数据，简单解析后可以发现其中有一篇在日志列表中不会出现的标题（title）为《贴出真实，秀出精彩－博客自拍之星》的日志，它的地址是http://blog.163.com/blog_admin/blog/static/72127920072276191481，allowView:10000表示它是博主私人可见，content即为该日志的内容。
修复方案：
BlogBean.getBlogs.dwr是旧版博客里的AJAX接口，新版已经升级为BlogBeanNew.getBlogs.dwr且没有此漏洞。建议删除旧版接口。
版权声明：转载请注明来源 XiNGRZ@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：3
确认时间：2012-01-19 17:13
厂商回复：
非常感谢对网易的关注，已经处理。
最新状态：
暂无