搜狗号码通手机客户端可被恶意攻击、以及隐私泄露问题

漏洞概要

缺陷编号:WooYun-2012-06459

漏洞标题:搜狗号码通手机客户端可被恶意攻击、以及隐私泄露问题

相关厂商:搜狗

漏洞作者:horseluke

提交时间:2012-04-27 20:40

公开时间:2012-06-11 20:40

漏洞类型:设计缺陷/逻辑错误

危害等级:低

自评Rank:3

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2012-04-27: 细节已通知厂商并且等待厂商处理中
2012-04-28: 厂商已经确认,细节仅向厂商公开
2012-05-08: 细节向核心白帽子及相关领域专家公开
2012-05-18: 细节向普通白帽子公开
2012-05-28: 细节向实习白帽子公开
2012-06-11: 细节向公众公开

简要描述:

搜狗号码通手机客户端的服务器端处理存在逻辑缺陷,攻击者可以举报任意号码到骚扰电话库,并且恶意刷票,从而导致受害者在不知情情况下被恶意标记。同时该软件的误用也有可能导致类似QQ圈子式的隐私泄露。

详细说明:

1、先决条件,APK反编译,不再阐述。2、反编译读代码,发现搜狗号码通手机客户端和服务器通讯采用了AES ECB模式加密,并且密钥有点偷懒,为产品英文的截取字符。3、核心服务器通讯有query_number.php和upload_number.php。前者为查询是否为有问题的手机号码,以及手机号码的举报次数;后者则为举报号码到骚扰电话库4、upload_number.php对IMEI参数校验不严,攻击者可以利用伪造的imei在短时间内大批量举报任意号码到骚扰电话库,并且集中对某号码恶意刷票,从而导致受害者在不知情情况下被恶意标记。5、标记功能没有教育好用户,用户有可能会误用为日常用户身份的标记,从而导致类似QQ圈子的隐私泄露。

漏洞证明:

1、通过实验,我自己的手机号已经刷到被102人举报为“快递”电话了。(求还原!)

2、标签功能导致的信息泄露(但这个图的电话有问题,怀疑也是和本人一样绕过手机端进行测试的)

修复方案:

1、完善对异常提交的处理逻辑。2、完善标记功能的分类、或者提醒标记的作用是骚扰电话举报,以免出现错误的隐私泄露3、另外,IMEI可否hash再传输?

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:8

确认时间:2012-04-28 16:04

厂商回复:

感谢反馈, 您反应的问题我们正在修复中, 会尽快解决
另外您提到的信息泄露, 标记和查询时不会发送用户的任何个人信息,只会携带一个算法生成的id作计数用, 并且只会对陌生来电做查询

最新状态:

暂无

评价

  1. 2010-01-01 00:00 123luckydog 白帽子 | Rank:3 漏洞数:4)

    QQ圈子已无隐私可言……隐私是什么?可以吃么?

  2. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    牛逼 我还能说什么呢

  3. 2010-01-01 00:00 horseluke 白帽子 | Rank:108 漏洞数:18)

    @123luckydog ,在互联网隐私问题上虽和你持相同悲观态度,但可以的话至少也要对公众悲观地喵一声。至于人家当作是高级富贵猫的矫情之音还是街头流浪猫的绝望之叫,随他。不在乎他人理解,但至少曾经喵过...

  4. 2010-01-01 00:00 Hxai11 白帽子 | Rank:970 漏洞数:147)

    我可以骂人吗?

  5. 2010-01-01 00:00 B1n4ry 白帽子 | Rank:53 漏洞数:5)

    @Hxai11 哈哈··不可以。

  6. 2010-01-01 00:00 Hxai11 白帽子 | Rank:970 漏洞数:147)

    @B1n4ry 那我无话可说

  7. 2010-01-01 00:00 123luckydog 白帽子 | Rank:3 漏洞数:4)

    @xsser 我突然想问:wooyun有敏感词屏蔽吗?

  8. 2010-01-01 00:00 horseluke 白帽子 | Rank:108 漏洞数:18)

    @xsser 这个真心不牛...PS:厂商选错了,给搜狗吧,提交漏洞时饿晕了,没仔细看清楚。

  9. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    @123luckydog 乌云是小社区,都会为自己负责的

  10. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    @horseluke 已改,我们需要新想法 :)

  11. 2010-01-01 00:00 123luckydog 白帽子 | Rank:3 漏洞数:4)

    @xsser wooyun其实可以弄个论坛灌水什么的,最近热点和奇葩都比较多哈,看评论我都快笑疯了……XD

  12. 2010-01-01 00:00 123luckydog 白帽子 | Rank:3 漏洞数:4)

    @horseluke 这种类似社交类软件,使用起来越方便越人性化,你的隐私泄露的几率就越大。这个漏洞有点‘三人成虎’的意思……

  13. 2010-01-01 00:00 horseluke 白帽子 | Rank:108 漏洞数:18)

    @123luckydog 对。顺带推荐各位看看江海客写的《互联网用户泛隐私安全热点问题回顾与浅析》:http://www.ccf.org.cn/sites/ccf/zlcontnry.jsp?contentId=2669042924666

  14. 2010-01-01 00:00 梦想肥羊 白帽子 | Rank:79 漏洞数:18)

    乌云开个q群或者论坛吧,咱们好歹也有个地方可以娱乐一下。

  15. 2010-01-01 00:00 Hxai11 白帽子 | Rank:970 漏洞数:147)

    @xsser @梦想肥羊 这个想法不错,开q群

  16. 2010-01-01 00:00 horseluke 白帽子 | Rank:108 漏洞数:18)

    缺陷被利用后的来电电话截图:http://ww4.sinaimg.cn/bmiddle/56b798f8gw1dsf4mo15mtj.jpg 多谢同事的sim卡借用。没有双号码的人伤不起,为了找最合适的手机客户端加解密方式不停反编译的开发人员伤不起...