ThinkSNS V3缺陷-01

### 简要描述： ThinkSNS V3正式放出，特表示祝贺。 不带刷的，友情检测（因为我们公司要用！） ### 详细说明： 刷粉丝漏洞！可CSRF，可首页蠕虫。仅测试！ 目测现在官方V3 用户3K+，若要刷粉，请看这里。 站点： ``` http://demo.thinksns.com ``` 还是个demo啊，就要好好测试。 未对CSRF设防，加关注、取消关注，直接为GET方式，可导致CSRF蠕虫。 看两个请求： 关注某人： ``` GET /t3/index.php?app=public&mod=Follow&act=doFollow&fid=39XX HTTP/1.1 ``` 取消关注： ``` GET /t3/index.php?app=public&mod=Follow&act=unFollow&fid=39XX HTTP/1.1 ``` 当然，这个fid就是需要被照顾的对象啦！刷起来 ### 漏洞证明： 利用方式可以在ThinkSNS 站内任何地方插入此链接，当然，最直接的就是放到首页去了！ [<img src="https://images.seebug.org/upload/201303/26232229350dee81aacdd9a8a8e97f695ef18867.png" alt=".png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201303/26232229350dee81aacdd9a8a8e97f695ef18867.png) 任何人看到首页的这条动态信息，点击就能自动关注此fid 当然，为了效果更好，你可以把内容做的更具有吸引力！ 当其他用户点击了此条动态效果 [<img src="https://images.seebug.org/upload/201303/26232309a733c308357d81653df4ecb8dd19d11b.png" alt="true.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201303/26232309a733c308357d81653df4ecb8dd19d11b.png) 关注成功。 [<img src="https://images.seebug.org/upload/201303/262323220755eea03eb9eb49104d86f6f40efaad.png" alt="false.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201303/262323220755eea03eb9eb49104d86f6f40efaad.png) 关注失败，因为这是我自己，自己不能关注自己。 很快，就收到新粉丝通知 [<img src="https://images.seebug.org/upload/201303/26232846877ccdf88f893cddcb204e5f1393a155.png" alt=".png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201303/26232846877ccdf88f893cddcb204e5f1393a155.png) 不管你是写日志，更新状态，都可以讲此动态同步到首页，发一条微博，让大家都来关注你！ 仅测试，未蠕