我是如何绕过新浪微博防御继续刷粉丝的
1.本洞非标题党；
2.首先参考上一 /Article/898.&分享了一个各大互联网厂商防范CSRF的通病；
3.其实在这之前我就与金龙大锅提过新浪对于CSRF防范是存在问题的，但是那时无法提供有力的证据，今天正好一并发着这里了。
1.我这里会说2个case，从最严重的开始吧！
2.出问题的站点是微博媒体，看这里：
/profile.php?uid=&ref=
3.点击关注，抓包看发送的请求：是一个POST请求！我再次以为会没戏：
4.参数uid是你要关注的对象，fromuid是你自己，其他的都不重要，可以忽略，当然fromuid也可以忽略，我再尝试将碰到的N个POST改成GET的失败后，终于成功了一次，偷懒的程序员啊！构造如下链接
/attention/aj_addfollow.php?uid=&fromuid=uid当然是乌云的官方微博了撒！
5.直接访问，是不行的，验证了referer！向上一篇漏洞所说，将它放在微博域下面，我首先直接将它发表在微博首页，点击访问，也是不行，看来referer验证的够深啊！M00004应该是一个报错代号：
6.幸好这个是可以留言的，直接在这里发表留言吧！
生成的短链接也截个图撒，如果能配上文艺范的文字，欺骗效果会更好：
点击访问，由于此时的referer确实是，那么我就能顺利的帮乌云刷粉丝了！
1.后面这个case和上面阐述的一样啦，大家可以略过了撒！
2.微博又个频道叫着微刊：
在这里，微博用户可以主营一个刊物。其他用户如果喜欢可以订阅这个刊物，但是一旦订阅，就必须关注刊物的负责人！
点击【订阅】，然后抓包，查看请求。擦，一个GET请求，订阅和关注刊主都是这一个链接做到的：
/aj/subscribe?wid=9975&_t=0&__rnd=4
3.上述链接参数wid应该是微刊的唯一标识，其他两个参数可以忽略，我直接访问GET请求，返回如下，服务器就知道了我要CSRF啊！
4.于是我将这个链接直接发在了微博首页：
生成的短链接如下：
5.成功订阅刊物和关注刊主：
修复方案：1.关键请求还是改成post比较好！
2.关键请求还是加token比较好！
3.礼物啊礼物！年底各种忙，还不忘给新浪找洞，要鼓励这种舍己为人的精神啊
(window.slotbydup=window.slotbydup || []).push({
id: '2467140',
container: s,
size: '1000,90',
display: 'inlay-fix'
(window.slotbydup=window.slotbydup || []).push({
id: '2467141',
container: s,
size: '1000,90',
display: 'inlay-fix'
(window.slotbydup=window.slotbydup || []).push({
id: '2467142',
container: s,
size: '1000,90',
display: 'inlay-fix'
(window.slotbydup=window.slotbydup || []).push({
id: '2467143',
container: s,
size: '1000,90',
display: 'inlay-fix'
(window.slotbydup=window.slotbydup || []).push({
id: '2467148',
container: s,
size: '1000,90',
display: 'inlay-fix'常用软件推荐
原创软件推荐
本月下载排行
语言：简体中文性质：国产软件软件大小：2.61 MB
新浪微博批量点赞软件主要用于快速抢“赞”别人刚发的微博，间接提高推广号的曝光率，达到引流的目的，类似QQ空间到处刷“脚印”功能！使用技巧：1.把微博帐号头像改好看点2.搜索的点关键设置成跟自己要推广的类目相对应的3.赞的时间间隔不能太快，建议8-32秒4.小号一天最大赞500次，认证号没测试过
免费版 | 无插件
人气：1034033
语言：简体中文性质：国产软件软件大小：4.45 MB
永飞新浪微博推广软件集成了目标微博用户精确采集，粉丝轻松管理，及挂机升级等众多功能，并可给粉丝批量发私信，软件还支持发微博和私信时加图片，支持自动回复帖子。企业级数据库管理不仅防止重复无用的推广，还提供了强大的报表功能，软件支持多人协同工作，大大提高了工作效率，是众多微博营销软件中的精品。软件适用于
免费版 | 无插件
人气：2535638
语言：简体中文性质：国产软件软件大小：2.24 MB
新浪微博辅助工具之一，可以设置转发的留言内容，设置转发的目标微博网址，自动为您转发微博！软件主要功能：1）.提高转发量、评论量、刷点赞软件可以用于刷微博的转发量、评论量、刷赞数量。2）.多帐号同时转发、评论、点赞购买后，可以导入几千几万个新浪微博帐号，进行刷转发量、评论量、刷点赞。3）.多种方式操作单条（
共享版 | 无插件
人气：32075
语言：简体中文性质：国产软件软件大小：3.44 MB
微易是针对新浪微博开发的第三方微博应用工具，是一款安全、高效、免费的微博互粉软件，它能快速有效的提升您的粉丝质量，提高您的微博的人气，定时发布微博，每天坚持发微博，可以引得更多粉丝。新用户注册马上送200积分，介绍别人来注册也可以获得积分，好东西，和大家一起分享哦！是一个非常实用的小工具。微易刷粉丝助
免费版 | 无插件
人气：206548
语言：简体中文性质：国产软件软件大小：3.05 MB
新浪微博全能助手实现批量注册新浪账号，批量激活微博，批量上传头像，批量发微博，批量加粉丝，批量完善资料，批量发评论。单账号登陆配有自动采集，自动发微博，自动评论，自动转发，批量转发单条微博，克隆微博自动同步发布等功能，支持多账号自动切换操作。软件..
共享版 | 无插件
人气：13106
语言：简体中文性质：国产软件软件大小：9.16 MB
博洋新浪微博刷粉丝软件是一款用于刷新浪微博粉丝的工具。博洋新浪微博刷粉丝软件功能：1、集成新浪、腾讯两大微博平台 可以同时对新浪微博和腾讯微博账号进行管理。 2、无需注册很多账号 会员间互助式操作，无需注册很多的微博账号，只要几个账号挂机积累积分，就能实现轻松增加转发数量的目的。即使你一个账号也没有，也
共享版 | 无插件
人气：7327
语言：简体中文性质：国产软件软件大小：10.77 MB
新浪微博营销精灵是一款集为新浪微博专门开发的营销工具，几乎涵盖了所有微博营销和推广手法，是新浪微博推广者不可多得的工具。新浪微博营销精灵是一款全自动的新浪微博营销工具，包含随机发送、@发送、评论、留言、转发、关键词评论、收藏、加粉、取粉、传图、传头像等等。为了方式帐号被K，可以使用ADSL模式，代理模式，
共享版 | 无插件
人气：22748
语言：简体中文性质：国产软件软件大小：123 KB
新浪微博刷粉丝工具刷粉原理是通过下载预置刷粉账号，然后逐一登陆关注你的微博账号，以达到刷粉丝的目的。
新浪微博刷粉丝工具每日提供50个公用账号以供用户刷粉。
新浪微博刷粉丝工具v2.5更新提示:
1.重新修改了界面,增加通行证和绑定微博账号等功能。
..
试用版 | 无插件
人气：23738
语言：简体中文性质：国产软件软件大小：4.29 MB
新浪微博账号注册软件※自动注册邮件※自动开通微博※自动进入邮箱激活账号※自动传头像
免费版 | 无插件
人气：24021
语言：简体中文性质：国产软件软件大小：562 KB
新浪微博互粉工具是一款新浪微博人气互刷软件。
新浪微博互粉工具使用方法：
1、运行软件-》点击注册
2、登录网站设置：微博大号UID,微博小号用户名,微博小号密码
3、用在网站注册的帐号在软件里登录
4、点击“开始”按钮互刷
免费版 | 无插件
人气：72484
语言：简体中文性质：国产软件软件大小：11.89 MB
要发新浪微博全能王主要用于企业微博维护，推广营销，以及新浪微博上开店卖产品，适合网店店主做营销，软件自动识别验证码，可以实现无人值守挂机，操作很方便。主要功能可分为：一、注册账号，养号（新浪微博账号注册，上传头像，改昵称，改标签，绑定密保邮箱，申请达人，自动解封账号）；二、微博营销（转发评论，关注粉
共享版 | 无插件
人气：3935
语言：简体中文性质：国产软件软件大小：2.18 MB
腾讯微博自动加听众工具，一天一个小时几百听众不是问题，同时关注的我听众，同样也会加入到工具里面被别人关注！更多，更好的工具由你们给力才能出来！~
免费版 | 无插件
人气：235146
语言：简体中文性质：国产软件软件大小：351 KB
微博自动加粉丝推广工具每天自动增加粉丝，自动推广转发微博，还可直接冲粉丝。
免费版 | 无插件
人气：3585
语言：简体中文性质：国产软件软件大小：6.32 MB
填入需要加粉丝账号的UID 设置好宽带账号或者代理IP 点开始按钮 输入验证码就能加粉丝 加的粉丝有头像有资料有博文有粉丝 粉丝的粉丝也会增加 真实度99％ 每次手工加粉丝到一定数量自动加入网络后台 就算不在线不使用软件粉丝也会继续增加 普及版 每天能加20个粉丝..
共享版 | 无插件
人气：12902
语言：简体中文性质：国产软件软件大小：9.98 MB
新浪微博粉丝机软件有两种加粉丝的模式：一种是手动刷（答题），一种是自动刷（后台）。只要手动刷成功了，就会自动加入后台刷。后台是有排名的，你长时间不手动刷，那后台刷也会刷不到粉丝。
新浪微博粉丝机软件使用说明:
1、若软件不能正常运行，请先安装.net ..
试用版 | 无插件
人气：27329您的举报已经提交成功，我们将尽快处理，谢谢！
刷新浪微博粉丝 Q:
大家还关注
(window.slotbydup=window.slotbydup || []).push({
id: '2081942',
container: s,
size: '1000,60',
display: 'inlay-fix'新浪微博整合营销
您身边的新浪微博营销专家
服务热线： 客服QQ：
√ 顶级真人粉
√ 可自由设定涨粉速度
√ 永久粉丝
√ 真人粉丝转发
√ 专业写手撰写内容
√ 快速提高微博人气
√ 真人粉丝点赞
√ 新浪微博定制投票
√ 提高微博人气
√ 包月主动转发您的微博
√ 包月点赞
√ 大V直发或转发广告
5大优势成就微博营销
精湛的加粉技术
公司的技术员都来自于新浪微博，拥有丰富的粉丝经营经验
良好的用户体验
每个企业都有专业的用户体验专家进行全程指导，让微博特别适合浏览习惯
高效的营销推广
包月套餐营销等多种手段，企业优势产品卖点有效挖掘
专业的文案编写
有专业的写手手工撰写微博的评论内容，更真实
强大的技术实施
5年的技术沉淀，7*24小时的技术支持
听听我们的客户怎么说
上线两月接单500多万，业务翻倍
新浪微博刷粉丝官方网站真的是一个神奇的网站，我们的客户都是通过微博找到我们的，无需东奔西跑， 非常轻松；微博运营上线两个月，就感觉像白捡500万，感谢新浪微博刷粉丝官方网站！
3天建立微博营销体系，实现盈利
网络不是那么神秘，微博营销离我们并不遥远!!新浪微博刷粉丝官方网站提供的技术支持和营销指导，不断提升微博人气，使得电话越来越多，询盘越来越多，每天都能接到很多询盘，真正实现微博营销最高境界！
找准核心定位，成功借力微博营销
通过新浪微博营销顾问的引导，确定企业发展理念，精准公司微博定位。合理运用微博营销知识，通过有效的微博推广手段获取大批客户，大大提高网上成交量，服务于多家全国大型企业，公司的利润整体快速上升。
好的微博营销让你公司盈利更轻松
微博营销真的不难，找新浪微博刷粉丝官方网站，建立起一套属于自己的高效微博营销系统，赚钱就变得很简单! 微博营销，就是这么简单！感谢你们！
我们的优势
√ 5年经验，诚信经营
√ 淘宝交易，永不掉粉
√ 24小时服务，节假日无休
√ 专业团队，售后保障
了解新浪微博刷粉丝
24小时值班手机