漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-043688
漏洞标题：大众点评—看看我是如何再次刷粉丝的
相关厂商：大众点评
漏洞作者： 小龙
提交时间：2013-11-22 17:42
修复时间：2013-11-22 18:00
公开时间：2013-11-22 18:00
漏洞类型：CSRF
危害等级：中
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-11-22： 细节已通知厂商并且等待厂商处理中
2013-11-22： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
详细说明：
http://wooyun.org/bugs/wooyun-2013-036072
这个哥们提交过了- - 当然被限制了，好蛋疼的说
http://www.dianping.com/member/42915773/fans
在这里抓包
漏洞证明：
http://www.dianping.com/member/jsonp/followUser?rand=965.1333225495003&memberId=1&callback=DP._JSONPRequest._4
访问直接关注ID为1的用户
附送一个洞洞。。
http://m.dianping.com/
在搜索哪里你输入<>
不点搜索就直接输出- - 我表示程序猿工资一定很低
http://wap.dianping.com/logout
访问直接退出。。
连同主站一起退
厂商的爆破哪里处理的很好，赞一个。
修复方案：
1：控制好所有接口
2：不要把输入输出自己弄在网页里
3：来发礼物把。。
版权声明：转载请注明来源 小龙@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-11-22 18:00
厂商回复：
小龙非常感谢，但是呢很抱歉，第一个危害真心不大呢。第二个搜索框的xss是sogou浏览器欺骗了你的感情哦。再洗感谢小龙的辛勤付出，你可以的，继续努力哦，看好你。BTW:你可以报sogou浏览器的url地址栏中解析js哦。
最新状态：
暂无