漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017347
漏洞标题：我是如何刷网易微博粉丝的
相关厂商：网易
漏洞作者： 风萧萧
提交时间：2013-01-15 22:47
修复时间：2013-03-01 22:48
公开时间：2013-03-01 22:48
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-15： 细节已通知厂商并且等待厂商处理中
2013-01-17： 厂商已经确认，细节仅向厂商公开
2013-01-27： 细节向核心白帽子及相关领域专家公开
2013-02-06： 细节向普通白帽子公开
2013-02-16： 细节向实习白帽子公开
2013-03-01： 细节向公众公开
简要描述：
各位网易微博的白帽子，我网易微博名是【风萧萧吸】，请通过正常途径关注我哦！
详细说明：
1.今天用了网易微博，虽然功能少点但也很nice嘛！想不到我封存了5年的网易账号还在，密码也没被盗！恩，不扯了，是一个加关注的接口存在问题呢！look：
话说我也不知道从哪里找到的了，当时也忘记了截图！
2.这个GET方式的加关注请求，没有防范CSRF哦，所以导致登录了网易通行证的童鞋只要访问了上述链接就会关注指定的人呢！下面我截图说下简单的利用方式吧，首先将链接直接发布在网易微博首页，并且艾特任何人，越多越好，当然配上文艺型的文字效果更好哦，由于是测试，我就不这么花哨了：
生成短链接如下：
漏洞证明：
3.使用IE浏览器登录另一个新申请的账号：
找到刚才风萧萧吸童鞋准备好的链接，点击即可，返回如下：
当然效果也有了：
4.其实不用这么麻烦，该接口没有对CSRF做任何的防范，直接点击访问就会中招！但是我为了说明这种GET方式的请求，即使验证了referer，也无济于事。后面的漏洞会精彩的如果有续集的话！
修复方案：
1.关键请求还是改成post比较好！
2.关键请求还是加token比较好！
3.礼物啊礼物！年底各种忙，还不忘给网易找洞，要鼓励这种舍己为人的精神啊！春天妹子啊送个公仔撒！
版权声明：转载请注明来源 风萧萧@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：16
确认时间：2013-01-17 18:40
厂商回复：
感谢您对网易的关注，漏洞已经修复。
最新状态：
暂无