当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-013075

漏洞标题：金山云盘IOS客户端漏洞导致账号密码泄漏

相关厂商：金山网络

漏洞作者： insight-labs

提交时间：2012-10-06 04:06

修复时间：2012-11-20 04:06

公开时间：2012-11-20 04:06

漏洞类型：用户敏感数据泄漏

危害等级：高

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-10-06： 细节已通知厂商并且等待厂商处理中
2012-10-08： 厂商已经确认，细节仅向厂商公开
2012-10-11： 细节向第三方安全合作伙伴开放
2012-12-02： 细节向核心白帽子及相关领域专家公开
2012-12-12： 细节向普通白帽子公开
2012-12-22： 细节向实习白帽子公开
2012-11-20： 细节向公众公开

简要描述：

ios app vuln

详细说明：

用户密码存在:
Library\Preferences\com.kismobile.tpan.plist
格式为明文保存用户账户和密码。

漏洞证明：

修复方案：

建议加密,且不要使用1次md5!
保存用户信息最好不要使用账号密码方式保存
參考 OWASP Top 10 Mobile Risks
1.Insecure Data Storage

版权声明：转载请注明来源 insight-labs@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2012-10-08 16:10

厂商回复：

多谢

最新状态：

暂无

漏洞评价：

评论

  1. 2012-10-06 04:29 | 邪少 ( 实习白帽子 | Rank:58 漏洞数:7 )

    楼主严重的发帖重复好几次

  2. 2012-10-06 04:51 | Eoh ( 普通白帽子 | Rank:286 漏洞数:35 )

    亲,刷屏了哦

  3. 2012-10-06 09:13 | insight-labs 认证白帽子 ( 普通白帽子 | Rank:623 漏洞数:75 | Security guys)

    昨晚严重睡不着：D

  4. 2012-10-06 10:29 | 风萧萧 认证白帽子 ( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)

    @insight-labs 茫茫多的乌云币啊！

  5. 2012-10-06 10:37 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    这个问题严格意义上不严重吧，我觉得真正严重的应该在云端

  6. 2012-10-06 10:48 | Coody 认证白帽子 ( 核心白帽子 | Rank:1565 漏洞数:189 | 不接单、不黑产；如遇接单收徒、绝非本人所...)

    恭喜 @insight-labs 顺利刷屏。。。。

  7. 2012-10-06 11:16 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @Coody 这个问题值得讨论哟

  8. 2012-10-06 11:57 | Coody 认证白帽子 ( 核心白帽子 | Rank:1565 漏洞数:189 | 不接单、不黑产；如遇接单收徒、绝非本人所...)

    @xsser 测试不起的路过......

  9. 2012-10-06 12:19 | insight-labs 认证白帽子 ( 普通白帽子 | Rank:623 漏洞数:75 | Security guys)

    @xsser 移动上的安全确实需要大家多多讨论测了许多厂商的软件 有些是做的不错,但有些就是在开发时疏忽了一些安全上的考虑.这个部分目前估计占滿大的比例大家多交流

  10. 2012-10-06 15:15 | kkappa ( 路人 | Rank:6 漏洞数:1 | 宅男！)

    恭喜成功刷屏！

  11. 2012-10-06 19:54 | 爱上平顶山 认证白帽子 ( 核心白帽子 | Rank:2738 漏洞数:547 | [不戴帽子]异乡过客.曾就职于天朝某机构.IT...)

    。。。。。。。。。

  12. 2012-10-07 13:00 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    = =对移动安全一点都不了解的路过～～

  13. 2012-10-08 08:13 | super480 ( 路人 | Rank:22 漏洞数:2 )

    @insight-labs 楼主敢打包一起发一个么。。。。严重刷屏啊移动安全讨论群1478901 仅限移动安全讨论

  14. 2012-10-08 14:15 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    @insight-labs 和@Claud 写篇总结介绍介绍吧 @xsser

  15. 2012-10-08 15:08 | Claud ( 普通白帽子 | Rank:161 漏洞数:18 | secmobi.com)

    @horseluke 我在很多活动上做过总结了，稍后会在secmobi.com发布。。。等我忙完这阵子的事。包括一篇wooyun上所有移动客户端漏洞的综合统计和分析，正在写 @xsser

  16. 2012-10-08 18:00 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @Claud 多谢分享！！！

  17. 2012-10-08 21:19 | insight-labs 认证白帽子 ( 普通白帽子 | Rank:623 漏洞数:75 | Security guys)

    移动平台所使用的web还是可以关注下的

  18. 2012-11-20 08:51 | Finger 认证白帽子 ( 普通白帽子 | Rank:777 漏洞数:95 | 最近有人冒充该账号行骗，任何自称Finger并...)

    @ 怎么提交的漏洞 有的n久未审核啊？