漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-040627
漏洞标题：百度贴吧可无限刷粉丝突破常规一天400个的数量限制
相关厂商：百度
漏洞作者： 安迪
提交时间：2013-10-22 13:57
修复时间：2013-12-06 13:58
公开时间：2013-12-06 13:58
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-22： 细节已通知厂商并且等待厂商处理中
2013-10-22： 厂商已经确认，细节仅向厂商公开
2013-11-01： 细节向核心白帽子及相关领域专家公开
2013-11-11： 细节向普通白帽子公开
2013-11-21： 细节向实习白帽子公开
2013-12-06： 细节向公众公开
简要描述：
百度贴吧，正常来说，为了防止用户刷粉泛滥，每天只能刷400粉，但是目前有端口设计缺陷，可以无限刷
详细说明：
百度贴吧，正常来说，为了防止用户刷粉泛滥，每天只能刷400粉，但是目前有端口设计缺陷，可以无限刷。
这个端口问题出在，百度的新主页。比如：http://tieba.baidu.com/home/main?un=%E5%AE%89%E8%BF%AA%E5%93%A5%E5%93%A5%E6%97%A0%E6%95%8C%E5%B8%85&fr=pb
在这个界面，有个“关注”按钮，我们截包，然后编写刷粉机器，即可无限刷粉丝！
近日，发现很多人利用刷粉赚钱，而且影响了用户I贴吧的正常操作，盲目炫耀粉丝数，影响恶劣，有很多人一天能刷几万粉丝！
漏洞地址如下：
Request URL:http://tieba.baidu.com/home/post/follow
——————————————
ie:utf-8
un:安迪哥哥无敌帅
tbs:1190f2082bac96ec1382418842
————————————
截包可见，不但可以无限刷，而且只有一个TBS限制，十分简陋。当然这不是重点，重点是可以无限刷粉
————————————————————
目前百度已经下架I贴吧了，粉丝实际作用已经没有了，建议百度直接取消 粉丝 功能。
漏洞证明：
怒刷5W粉丝，不解释。完全无限刷
修复方案：
增加每日次数限制
或者直接取消粉丝功能算了
版权声明：转载请注明来源 安迪@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2013-10-22 16:32
厂商回复：
感谢对百度安全的关注，安全组已经与贴吧开始处理此问题。
--“百度，因你更安全”
最新状态：
暂无