漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-067336
漏洞标题：百度某功能可对用户发送垃圾信息
相关厂商：百度
漏洞作者： 浮萍
提交时间：2014-07-04 17:59
修复时间：2014-07-05 12:18
公开时间：2014-07-05 12:18
漏洞类型：恶意信息传播
危害等级：低
自评Rank：4
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-04： 细节已通知厂商并且等待厂商处理中
2014-07-05： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
详细说明：
今天早上打开云盘发现了这个链接http://tieba.baidu.com/p/3142031881
进去看看发现百度出来个新功能http://pan.baidu.com/mbox/homepage#share/type=session
就无聊试了试
可以添加好友并发送消息
添加好友后就可以发送消息了，不管对方是否加了你好友
都可以发送消息
还有文件
第二就是可以无限发送消息
这样就可以发送大量的垃圾信息
下面详细证明
漏洞证明：
首先搜索好友
添加后先发送一条消息，然后抓包，再将该联系人删除
照样能发送消息，对方也能接收到
文件同样可以
抓包中的一段代码
记好这个receiver
轰炸开始
看消息
修改receiver为另一个号
也可以收到消息
receiver是不是id呢
前几个洞求审核
修复方案：
版权声明：转载请注明来源 浮萍@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-07-05 12:18
厂商回复：
感谢对baidu安全的关注。问题存在，但属于功能缺陷。
最新状态：
暂无