竭泽而渔毁掉的某微博自动收听漏洞

内容简介：如果访问者之前是保持微博登陆的状态，那么，访问者就会自动收听技术人员所设置的账号，逆天的是，这个方法没有什么限制。这也就意味着，你可以通过购买广告之类的方式，短期内，暴增大量的粉丝来做各种营销，听上去是门不错的生意。

自己的微博莫名奇妙收听了很多人？完全没印象？有的时候是不小心点了快速收听，有的时候是使用了某个应用被自动关注的，当然也有很小的概率是账号被偷，而就在十几个小时以前，大部分在某微博被加粉丝原因是——这个微博存在一个自动收听漏洞，技术人员，可以通过构造一个特殊的表单，让访问者在点击，或者鼠标移动的时候，触发表单提交时间form.submit，从而将数据发送给某微博的一个收听接口，而这个过程中，如果访问者之前是保持微博登陆的状态，那么，访问者就会自动收听技术人员所设置的账号，逆天的是，这个方法没有什么限制。这也就意味着，你可以通过购买广告之类的方式，短期内，暴增大量的粉丝来做各种营销，听上去是门不错的生意。

不过安全领域实在是一个很奇怪的圈子，总有那么一些人——你该怎么说他们呢，如果你买的网站广告是美女图片网站，那么你强塞给访问者1,2个【美女街拍】【两性私语】之类的账号，也无可厚非，访问者估计也甘之若醴，可是你塞给他们【今日荐股】【奢侈导购】【减肥就这么轻松】之类一些杂七杂八的账号关注，而且一塞就是一二十个，这不是强迫用户去投诉么，于是，用户真的去投诉了，于是，这个漏洞就那么没有~~

虽然已经过时了，不过写出来也可以给大家一些思路上的参考，同时奉劝一句，下次，别再竭泽而渔了。