[公开漏洞]秘密APP逻辑缺陷导致可猜测秘密具体发布者是哪个好友

来源:WooYun 浏览:693次 时间:2014-07-15
做网站找雨过天晴工作室
秘密APP逻辑缺陷导致可猜测秘密具体发布者是哪个好友 相关厂商: 秘密 漏洞作者:Lucien 提交时间:2014-04-16 10:38 公开时间:2014-07-15 10:39 漏洞类型:设计错误/逻辑缺陷 危害等级:高 自评Rank:20 漏洞状态: 厂商已经确认 漏洞来源:http://www.wooyun.org Tags标签: 逻辑错误 设计不当 手机应用 秘密 漏洞详情 披露状态:

2014-04-16:细节已通知厂商并且等待厂商处理中
2014-04-16:厂商已经确认,细节仅向厂商公开
2014-04-19:细节向第三方安全合作伙伴开放
2014-04-26:细节向核心白帽子及相关领域专家公开
2014-05-06:细节向普通白帽子公开
2014-05-26:细节向实习白帽子公开
2014-07-15:细节向公众公开

简要描述:

由无觅网出品的秘密AAP可以匿名发布信息,其最重要的卖点就是隐私保护,但是由于其存在着致命的逻辑设计缺陷,可猜测出秘密的发布者是自己的哪位联系人。隐私保护形同虚设,命中率百分百。

这是一个逻辑挑战。

详细说明:

秘密APP存在三个问题

第一,注册账号时无需验证手机号就可注册成功。

第二,通过找回密码穷举联系人可以获得注册秘密APP的好友列表。

第三,请求找回密码重新获取时间可以通过登录账号再退出绕过

将以上三个漏洞加以利用即可猜测出秘密发布者。



猜测步骤:

1.利用APP只能注册三个账号的特点,注册满三个账号(手机号任意输,不是自己的手机号也能注册)。

2.通过忘记密码穷举联系人列表,未注册的会提示手机号码还未注册,已注册的会提示一部手机最多注册三个账号。



PS:为什么第一步要把三个账号注册满,因为你不注册满,一旦该手机号码注册过秘密,就会发验证码过去,岂不是打草惊蛇了。而且会触发验证码120秒的等待时间(不过也有办法不等待,登陆自己的号码再退出等待时间就清零了。



3.在另外一台通讯录为0的设备上注册一个新的账号。把联系人账号一个个输进去,前三个输入自几注册过的手机号,后面每增加一名用户,就能看到这名用户发的所有秘密。(这里也体现出刚开始注册



总结。。以方法虽然笨了点,时间也花的久点,但是确实有效,100%命中!以上第二步可以写个软件跑一下,两分钟就能出结果,第三步还需要自己去慢慢比对。。联系人注册多的就杯具了。其实也有更笨的办法,跳过第二步不用猜测谁注册了秘密,直接把通讯录联系人一个一个添加到新的设备和账号里,就可以了!

漏洞证明:

1.提前注册好一个账号。13737373737,并发布text秘密

2.通过重置密码发现13737373737已注册

1.jpg



(未注册显示为手机号码还未注册,可将该人排除)

2.jpg





3.将13737373737加入通讯录

23E192DD@FCC6F80(04-17-10-50-20).jpg



4.发现朋友的消息多出了一条,即可猜测是来自13737373737的匿名消息。

4.jpg

修复方案:

增加注册时短信验证,忘记密码更换提示语,增加请求次数限制,修改请求时长限制

版权声明:转载请注明来源 Lucien@乌云

漏洞回应 厂商回应:

危害等级:低

漏洞Rank:2

确认时间:2014-04-16 21:44

厂商回复:

感谢@Lucien对秘密的关注及提出的建议。

我们重新深入了解及测试了整个流程,按照用户提供的测试流程并无法确切猜出发表秘密的用户。

但用户对于产品提示及注册流程的建议非常棒,已被采纳,将于下一版提供给用户。有其他方面的建议及反馈可发邮件至mimifb#。

最新状态:

暂无