分享漏洞：
披露状态：
： 细节已通知厂商并且等待厂商处理中
： 厂商已经确认，细节仅向厂商公开
： 细节向核心白帽子及相关领域专家公开
： 细节向普通白帽子公开
： 细节向实习白帽子公开
： 细节向公众公开
简要描述：
1.小范围测试；
2.该站点对CSRF不设防，加关注、留言等直接为GET方式，可导致CSRF蠕虫；
3.分享一个各大互联网厂商防范CSRF的通病，我是如何秒杀的。
详细说明：
1.首先声明下哈：我只是简单测试给自己刷了一些粉丝，没有继续了；确实可以搞CSRF蠕虫的，我木搞啊！我是好娃子！
2.开始吧，出问题的站点是：code 区域这个站点对CSRF不设防，加关注、取消关注、发微博、留言不设置任何防范。我下面举两个例子：
3.加关注的接口是：code 区域/api/addfriendship/?uid=一个GET请求，uid参数是所要关注的对象uid，乌云的uid为：，那么微博用户以任何方式访问了下面的链接即可关注乌云微博：code 区域/api/addfriendship/?uid=
4.利用方式一：配合社会工程诱使微博用户点击上述链接，当然得有一个平台让微博用户去点击，你可以通过QQ等聊天软件发送上述链接诱使用户点击，但是不觉得小题大做了么，而且很费事！其实微博本身就是这么一个平台，我直接将链接插入：
点击【发布】，当然你可以配上其他的文艺型文字效果更好！生成短连接如下：
当一个没有关注乌云微博的用户点击之后，如下效果，成功加乌云关注：
5.利用方式二：方式一需要用户点击，现在的网友都不再是傻子了，成功率可能较低。如果有方式直接加载就好，受害者看了我的微博就关注了乌云多好啊！还记得@imlonghao引发的基于401基础认证钓鱼的恐慌么？直接通过&IMG&元素加载吧！但是微博本身是不能直接插入网络连接，一般都需要上传图片到新浪服务器。在那个夜黑风高的晚上，我以三把war3为代价，让我的一个好基友@th000找到了微博一个可以插入网络连接的子域：code 区域
看下图，虽然本地客户端有验证请求网络连接的是否为图片，但是对于白帽子而言这确实是小case，好吧，粉丝都是通过这里刷的：
漏洞证明：
6.好的，刷粉丝的问题说完了！下面是可能引发蠕虫的地方，发微博（我没有测试哈哈），我看了留言的地方，没有防范CSRF，恐怖的是居然也是个GET请求方式！请看下面请求：code 区域/api/addcomment/?mid=9660&comment=so+nice&_=5
通过上面的两种利用方式，一经访问，立即生效！
当然，如果你勾选了【同时转发到微博】，那么的首页也会遭受蠕虫的重创了！
7.我分享的这个各大互联网厂商防范CSRF通病，上面其实已经说的很清楚了，不知道各位看官是否注意到。就是利用微博这个平台，对于GET方式请求，只验证referer不加token的CSRF的防范是无效的！比如上面刷粉丝的链接防范了CSRF，验证了referer，通过利用方式一或二把它放在域下面，受害者点了，请求的referer是不是仍然为呢？
修复方案：
希望厂商的回复不是：
多谢提供，此问题已经内部发现并通知了相关负责人进行修复。
版权声明：转载请注明来源 @
厂商回应：
危害等级：高
漏洞Rank：15
确认时间： 09:37
厂商回复：
多谢提供，已经安排相关人员进行修复。
最新状态：
漏洞评价：
对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值
漏洞评价(少于3人评价):
登陆后才能进行评分
@se55i0n 洞主总是一个人爽，哎
@小胖胖要减肥 哈哈，你不是也在玩csrf么，去跟踪下撒~
被刷了1k多的腾讯微博粉丝、、、是被刷、、
@se55i0n 疯牛找了其他地方非主页可以用的关注接口啊，这个也是黑阔能力的一个体现
日，谁改我标题！
@se55i0n 后面会有一个爆炸性的，日刷千万粉丝
@小胖胖要减肥 你误会我了，我是帮乌云刷的，标题被改了。
@px1624 后面会有的
@风萧萧 给wooyun来个日刷千万粉丝呀，这样就出名了，话说前天微薄的那个自动发送微薄知道什么导致的么
@th000 是打魔兽的那个三蛋吗？
@风萧萧，war3求虐！！！
你好，请问下怎么绕过本地客户端验证是否为图的问题。 我小菜
登录后才能发表评论，请先掰开“新浪微博如何刷粉丝”后面不可告人的秘密！（转）
发表时间： 19:47:09
点击：1990
幻龙九封尽
请选择要设置的颜色：
使用该道具可将帖子置顶到：
时效：6小时
使用该道具可将帖子置顶到：
时效：30分钟
请输入楼层数：
请输入楼层数：
该道具可显示帖子内所有匿名用户，但仅使用者本人能看到：
该道具可将帖子内的匿名发言用户恢复为正常显示昵称，并以红色醒目显示，为匿名终结者，且所有人都可以看到！
幻灵九峰尽
请输入回复置顶区的楼层数：
请输入楼层数：
记者掰开“新浪微博刷粉丝”后面的“新浪微博如何刷粉丝”不可告人的秘密！&
　　9月2日，某女星开通新浪微博后，仅用了三天时间，新浪微博粉丝数量已过70万，创下了中文微博的最高粉丝增长纪录。和某女星相比，“围脖女王”的粉丝更是高得惊人：1700多万！&
　　那么，海量的新浪微博刷粉丝，新浪微博如何刷粉丝有什么作用呢？业内人士对此进行了揭秘，比如现在微博江湖中公开的叫价是：拥有15万粉丝的账户，转发一条广告信息的价码是400元；有20万粉丝，转一条给500元；有30万粉丝，600元……&
　　然而，更多的普通人显然无法做到微博粉丝海量增长。那么也有一个办法应对，那就是买微博粉丝。记者日前最新了解到，那种没头像、没博文、没任何互动的“僵尸粉”早就过时了，升级版“活粉”开始在网上热卖——10000个“活粉”叫价60元&
　 　记者在网上联系的新浪微博刷粉丝，新浪微博如何刷粉丝卖家“单身~扣
&”告诉记者，现在这些活粉全部是有图片、有关注、有评论以及有转发，与货真价实的粉丝没有区别。“新浪微博现在只关注加V用户的粉丝量迅速提升的情况，对 于普通用户的粉丝量，花点钱买点人气，新浪是不会管的”的客服人员向记者保证。&
　　业内行情&
　　常刷微博的人可能都会被一些刷微博粉丝的广告博主“关注”过，记者也曾多次莫名其妙的被这些刷微博粉丝的微博加过粉。和普通的微博用户不同，这些广告博主的头像往往都主打“刷粉丝”、“加粉丝”等大红字体，再配上号码和粉丝的价格，格外显眼。&
　 　微博发展到现在，这些讨厌的“僵尸粉”成了过街老鼠人人喊打。但记者最近发现另外一种粉丝——“活粉”，却在各大论坛、上卖得非常红火。记者打开谷歌， 在 搜索栏里输入“微博怎么刷粉丝”，共找到1695家推广网络服务的商家（实际上就是微博粉丝的卖家）。和以往不同的是，这些商家大打“活粉牌”，都在广告 语中明确说明自己的粉丝质量高。至于价格，也都明码标价：个粉丝20元等。有些商家除了加粉丝的服务外，还推出了转发、投票等业务，也 是按照相应的服务次数收取费用。&
　　“眼下，服务微博已成了一条‘产业链’”，一位业内人士称。&
　　“活粉”和真粉丝非常像&
　　那么，到底什么是“活粉”呢？业内人跟记者解释说，“活粉”是由人工添加的虚假粉丝，有头像、有资料，活跃度很高，与真粉丝非常相似。而且由于购买“活粉”，粉丝量不会瞬间暴增，而是每天陆续增加几百人，不会像原来的“僵尸粉”那样惊动微博管理员。&
　 　前天，网上的一个新浪微博刷粉丝，新浪微博如何刷粉丝卖家告诉记者，现在买新浪微博刷粉丝的很多。“来咨询的人更多，很多人通过我把微博的粉丝刷上去 了。只要你有足够的钱，想刷多 少刷多少！” 他告诉记者，开业以来，一天最高可以为个人刷好几万的粉丝量。购买成功，保证在24小时内完成新浪微博刷粉丝量。对于记者担心的僵尸粉问题，该卖家保证刷 出 来的微博是有头像、有职业、有博文的高质量的微博粉丝。&
　　随后，记者在当天22点25分花20元钱，拍下该卖家（ 单身~扣 ）的最低成交量20件产品——也就是20元钱记者可以买到1000个粉丝，经过讨价还价，该卖家同意20元钱卖给记者1100个新浪微博粉丝。&
　 　按照卖家要求，记者给出自己的微博地址。在成交时，记者的粉丝数为143位，随后记者眼睁睁看着微博粉丝数唰唰的往上跑，在22点50分时粉丝已达到 645位；10分钟后，粉丝数达到2059位；到23点15分，记者的微博粉丝数定格在2090位——按成交价，最后的粉丝量应该是1243位，为什么多 出来800多个粉丝呢？记者对此感到非常不解。没想到，卖家跟记者说，多余的粉丝是赠送的，“我们可以随意掌控粉丝的数量。”&
　　随后，记者又在另一卖家处花20元买了1000多个新浪微博粉丝。最终，记者的粉丝数已到3242人。&
　　“活粉”并不能和记者互动&
　　一下子多了这么多新浪微博刷粉丝，能不能和记者互动呢？记者尝试着和其中一些新粉丝发私信或者@他们，但是整整一天过去了，并没有一人回应。而卖家也告诉记者，他们加进来的粉丝虽然是高质量的：有头像、有职业、有博文，可还是不能互动，发评论之类的。&
　　为什么不能互动呢？对于记者这个问题，该卖家表示他们只负责新浪微博刷粉丝，新浪微博如何刷粉丝，不负责其他的。“那你是怎么给客户加上粉丝的呢？” 对于记者这个问题，卖家干脆表示“这是行业秘密，不能随便向外人透露”，此后就不再说话。&
　　卖家称每月只赚3000元&
　 　随后，记者又联系另一位新浪微博卖家“扣~ ”。他告诉记者，其实现在网上热卖的“活粉”和以前的僵尸粉并没有本质的区别。“只是僵尸粉加多了会引起新浪的注意，会被当作恶意用 户删掉。所以现在大家都升级了，都变成活粉了。活粉就是要给这些粉丝进行定期维护，发博文什么的。”“其实要互动也不是完全不可以。但是我们作为这些账号 的维护人，要是和每个客户互动，根本就忙不过来！所以基本上买来的粉丝是不能互动的。所以现在的活粉，也就是以前僵尸粉的升级版——本质上是一样的。”&
　　记者揭露“新浪微博刷粉丝”后面的“新浪微博怎么刷粉丝”不可告人的秘密！&
　　至于到底怎样才能生成那 么多的新浪微博粉丝，“卖家告诉记者，每个卖微博粉丝的商家，都会事先做好自己的程序。然后在网上买邮箱号去注册微博账号，但如果 不去维护，这些账号就会被新浪封掉。这样，对于卖微博账号的团队来说，日常最少需要2个人：一个人负责日常账号的维护，另外一个人则负责在网上卖。“一般 情况下，我这里每小时只能加800个粉丝，幸运的话一天一个客户最多也就能加2万个粉丝。”&
　　“新浪微博刷粉丝，新浪微博如何刷粉丝卖家 说，“我们现在每个月也就只能卖3000多块钱。以前最贵的时候1000个粉丝至少也需要30元，现在网上卖新浪微博刷粉丝的人多了，所以价格就20块钱了。”
回复置顶区
使用 ，可让您的回复出现在此区域
想什么呢楼主！
猜你也喜欢
财务密码：
楼主的其他的文章
猜你也喜欢
幻龙九封尽
请选择要设置的颜色：
使用该道具可将帖子置顶到：
时效：6小时
使用该道具可将帖子置顶到：
时效：30分钟
请输入楼层数：
请输入楼层数：
该道具可显示帖子内所有匿名用户，但仅使用者本人能看到：
该道具可将帖子内的匿名发言用户恢复为正常显示昵称，并以红色醒目显示，为匿名终结者，且所有人都可以看到！
幻灵九峰尽
请输入回复置顶区的楼层数：
请输入楼层数：热门搜索：
您的位置： -&
-& 新浪微博刷粉丝免费下载，，，一点即看即玩！
新浪微博刷粉丝软件免费下载
2345软件大全提供新浪微博刷粉丝软件多个版本高速下载地址：官方正式版、最新版、免费在线版，我们只提供绿色、无毒、无插件、无木马软件下载，最高可达100M/秒软件下载速度，还有更多新浪微博刷粉丝软件安装方法和软件使用教程。
共有相关软件 40 款
免费软件(已注册)，无插件
新浪微博刷粉丝工具
好评率：58.2%人气：20272
共享软件(可使用,有功能限制)，无插件
一款主动增加新浪微博粉丝工具
好评率：37.5%人气：2282
免费软件(已注册)，无插件
WiFi万能钥匙是一款自动获取周边免费Wi-Fi热点信息并建立连接的android必备工具
好评率：72.9%人气：290638
免费软件(已注册)，无插件
快吧游戏是一款简单易用的游戏管理软件
好评率：87.5%人气：698204
免费软件(无功能限制)，无插件
一款免费且操作极其简单的wifi共享软件
好评率：70.3%人气：29562
免费软件(已注册)，无插件
在线轻松看电影
好评率：79.8%人气：197008
免费软件(无功能限制)，无插件
360云盘Windows客户端自带华丽界面，能够非常方便的备份、查看照片。
好评率：71%人气：111675
免费软件(已注册)，无插件
专门为《英雄联盟》玩家打造的游戏辅助工具
好评率：87.1%人气：736934
免费软件(已注册)，无插件
能够控制豆油的发送速度
好评率：50%人气：0
免费软件(已注册)，无插件
移动应用架构平台
好评率：69.7%人气：64841
免费软件(已注册)，无插件
淘宝购买者的助手
好评率：72.3%人气：150730
免费软件(已注册)，无插件
自动静音不断重复播放百度音乐的软件
好评率：57%人气：68990
免费游戏(已注册)，无插件
第一人称射击网游
好评率：78.8%人气：143922
免费软件(已注册)，无插件
兼备日历天气功能的2345网址导航快速入口
好评率：83%人气：200888
免费软件(已注册)，无插件
全面过滤横幅、广告、弹窗
好评率：76.9%人气：104361
共享软件(可使用,有功能限制)，无插件
批量加QQ号码
好评率：68.1%人气：219255
免费软件(已注册)，无插件
管理支持本地一个或多个蓝牙设备
好评率：83.8%人气：55549
免费软件(已注册)，无插件
QQ号码轻松申请
好评率：78.2%人气：54092
免费软件(已注册)，无插件
各种音效大合集
好评率：89.5%人气：131051
共享软件(可使用,有功能限制)，无插件
实体店WiFi广告和O2O商业入口
好评率：73.9%人气：21448
共有：40条1 转到第
按字母检索
||||||||||||||||||||||||||
资源统计：无插件软件：93173个 无病毒软件：93464个 昨日已处理133个带插件、病毒的软件
本站总软件：93464个 软件总下载次数：22.674亿次
软件教程文章：84987篇 总浏览次数：2.644亿次微粉易传媒公司
本站采用支付宝担保交易方式，与支付宝合作，安全可信，请放心下单！
微粉易，全国口碑最好，信誉最好，质量最好的微博粉丝平台！
Copyright -
All Rights Reserved. 微博粉丝网管理系统 版权所有&&&服务时间：周一至周日 08:30 — 23:00& 全国订购及服务热线：400-999-3823&&联系地址：广州市天河区展望数码1513创航国际集团 & 邮政编码：510500&&