漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0176391
漏洞标题：ACFUN所有接口未加验证 可实现完美蠕虫
相关厂商：广州弹幕网络科技有限公司北京分公司
漏洞作者： 专注XSS三十年
提交时间：2016-02-17 14:21
修复时间：2016-02-22 14:30
公开时间：2016-02-22 14:30
漏洞类型：CSRF
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-02-17： 细节已通知厂商并且等待厂商处理中
2016-02-22： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
ACFUN是不是换人了？以前（2014年）看的时候网站很严格，所有接口都有token验证或者salt，怎么现在全都没了？随便POST随便CSRF
详细说明：
首先是修改签名的接口地址：
http://www.acfun.tv/member/signSubmit.aspx
POST数据：sign=签名内容
然后是私信地址：
http://www.acfun.tv/api/mail.aspx?name=newMail
POST数据：username=昵称&content=私信内容
然后是听众接口：
http://www.acfun.tv/api/friend.aspx?name=getFollowedList&pageNo=1&pageSize=10
JSON格式，可直接解析使用
最后是个人资料接口：
http://www.acfun.tv/member/profile.aspx
怎样来做一个非常的完美蠕虫呢？
做一个蠕虫页面，功能如下：
先得到自己名字（其实也可以不用获取自己资料），获取自己的全部听众，然后循环给所有听众发私信（通过IFRAME的方式自动POST可保证页面多次POST站外），私信内容是这样：“
最近和亲爱的新拍了一组泳装照片，限制级哦，粉丝们给点意见吧，http://xxxxxx”
然后听众点开病毒页面，又自动给自己听众发私信……想想看，你关注的主播给你发的私信，你会不点吗？一个完美的自动蠕虫成立！
漏洞证明：
ACFUN登录状态下访问 http://chat.1dos.com
点击next，你的签名就会被修改。
其它问题影响太大，不做验证，但推断绝对可行。
修复方案：
不要全部找一些刚毕业的，省钱不是这么省的
版权声明：转载请注明来源 专注XSS三十年@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2016-02-22 14:30
厂商回复：
漏洞Rank：2 (WooYun评价)
最新状态：
暂无