人人网绕过隐私设置给他人发送消息

漏洞概要

缺陷编号:WooYun-2013-017581

漏洞标题:人人网绕过隐私设置给他人发送消息

相关厂商:人人网

漏洞作者:iHeadquarters

提交时间:2013-01-21 10:36

公开时间:2013-03-07 10:37

漏洞类型:未授权访问/权限绕过

危害等级:低

自评Rank:5

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2013-01-21: 细节已通知厂商并且等待厂商处理中
2013-01-21: 厂商已经确认,细节仅向厂商公开
2013-01-31: 细节向核心白帽子及相关领域专家公开
2013-02-10: 细节向普通白帽子公开
2013-02-20: 细节向实习白帽子公开
2013-03-07: 细节向公众公开

简要描述:

在用户留言板隐私设置为“只有好友可以留言”的条件下,非好友可以向其任意发送留言消息。可以利用此漏洞发送垃圾消息或窃取用户信息。

详细说明:

在给非好友且留言板禁止非好友留言的用户留言时,虽要求输入验证码并提示“由于对方隐私设置,只有好友可以留言”,但留言依然可以成功。这表明人人留言板后台的权限验证存在漏洞:可以验证权限但没有实现权限控制。

漏洞证明:

1.登录人人账号2.选择非好友且对方留言板设置为“只有好友可以留言”的用户A,记录其ID为A_ID备用。

3.打开自己主页的留言板,查看发送消息按钮的源代码,查找到提交部分。(涂改掉的3开头的ID即登录的本人测试账号M_ID)

4.将上一步中的两个M_ID都修改为攻击对象的A_ID(2开头),点击留言,提示输入验证码,如图。

5.输入验证码后留言,人人网提示“由于隐私设置,不能给对方留言”,如图。

6.登录被攻击的账号,检查留言板,发现留言成功。

修复方案:

建议修复错误逻辑

漏洞回应

厂商回应:

危害等级:低

漏洞Rank:3

确认时间:2013-01-21 11:25

厂商回复:

tks!

最新状态:

暂无

评价