關於新浪微博的一個遺留下來的接口

信息最初從新浪微博@ringzero 傳播開
強烈譴責這位仁兄!為何要發送 '我是一隻豬' 啊魂淡!((

漏洞已經被封上啦!新浪這次反應速度挺快的嘛

接口調用方法

http://supports.jiaju.sina.com.cn/api/weibo.php?action=send&type=1&content=你需要的文字信息&callback=jsonp1446827400881  

這或許只是其中的一小個接口。也許背後還有不計其數新浪遺留下來的漏洞。

上面的接口能做什麼呢?

從已登陸賬號的新浪微博手機客戶端 或者擁有sina.com.cn cookie記錄的瀏覽器 中打開這個網站,就會返回一系列賬號信息並且 自動發送一條由網址自定義的微博

例如我在手機客戶端中打開

http://supports.jiaju.sina.com.cn/api/weibo.php?action=send&type=1&content=TEST &callback=jsonp1446827400881  

我就會自動發送一條小尾巴來自新浪房產的微博 TEST 。

危害?

我隨手寫了一個網址並用一些技巧讓他能把自己傳播出去。是 '屠龍寶刀點擊就送' 的信息,並且最後會@我。結果是我在短時間內收到了50條的@

假設我現在用iframe或者其他手段把它嵌套進一個看起來正常的網頁裡面,並且將iframe的長寬設置為0,會發生什麼情況呢?
您會在不知道任何信息的情況下發送一條由我定義的微博。

它也許是廣告,也許包含了惡意鏈接。這一切您都不會知道。

我簡單寫了一個這樣的網頁。它的網址是http://demo.touko.moe/sinaapi/
可以直接訪問 這條微博 點擊測試鏈接
或者複製到手機私信或者已經在sina.com.cn登陸過的瀏覽器中打開它。然後您就會發送一條 Test 微博。

标签: Sina, Weibo, Bug, api