新浪微博还一处非常严重的CSRF刷粉丝

来源：自学PHP网时间：2015-04-17 11:59 作者：阅读:次

[导读] 1.加关注的接口POST变GET；2.不只是刷粉丝呢，xss可以偷身份，csrf同样可以的！1.是这个站点撒：http://caipiao.weibo.com,先登录，将信息填好撒！2.加关注的接口本来是一个POST请求的，结果我...

1.加关注的接口POST变GET；

2.不只是刷粉丝呢，xss可以偷身份，csrf同样可以的！

1.是这个站点撒：http://caipiao.weibo.com,先登录，将信息填好撒！

2.加关注的接口本来是一个POST请求的，结果我简单试了下，直接GET也可以撒，这个不能原谅哦，如下：

http://w.aicai.com/ajaxCareFriend.do?uid=1981622273直接访问，再看看微博关注了谁吧：

3.再看另一个问题，CSRF绑定邮箱，再取回密码，进入【安全中心】：

4.在邮箱那里，点击立即设置，填好事先准备的QQ邮箱：

5.将该请求抓下，准备一个POST请求的POC页面，这个要是能GET，麻烦就大了：

<body>

</form>

document.fengxiaoxiao.submit();

</script>

</body>

</html>

6.把链接发给指定的人撒，QQ邮箱来邮件了：

7.用另一个微博账号点击上述链接，成功绑定！

修复方案：

1.CSRF要彻底检查下啊，不只是这两个地方；

2.绑定邮箱的地方经实践证明，可以直接GET的，麻烦大了

3.关键接口没有做用户验证，比如提示用户首先输入密码才可绑定邮箱或手机，哪怕设置一个图片验证码也可防止这种情况

更多文章推荐