漏洞详情

披露状态:

2014-07-30: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-10-28: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

该社交类app后台服务下发用户敏感数据,手机号,QQ等

详细说明:

下载爱吧客户端(android或者ios均可)
注册登录
配置fiddler抓取手机http请求
随意点击一个用户个人主页
分析http返回信息

QQ图片20140730111803.jpg


随意修改uid,即可获取任意用户信息,包含敏感的手机信息

漏洞证明:

QQ图片20140730143116.jpg


修改uid,可批量拉取用户数据

修复方案:

标签: none

评论已关闭